CVE-2024-22120

Опубликовано: 17 мая 2024

Источник: nvd

CVSS3: 9.1

CVSS3: 8.8

EPSS Высокий

Описание

Zabbix server can perform command execution for configured scripts. After command is executed, audit entry is added to "Audit Log". Due to "clientip" field is not sanitized, it is possible to injection SQL into "clientip" and exploit time based blind SQL injection.

Ссылки

https://support.zabbix.com/browse/ZBX-24505
Exploit
Vendor Advisory
https://support.zabbix.com/browse/ZBX-24505
Exploit
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:zabbix:zabbix:*:*:*:*:*:*:*:*

Версия от 6.0.0 (включая) до 6.0.28 (исключая)

cpe:2.3:a:zabbix:zabbix:*:*:*:*:*:*:*:*

Версия от 6.4.0 (включая) до 6.4.13 (исключая)

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha1:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha2:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha3:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha4:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha5:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha6:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha7:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha8:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:alpha9:*:*:*:*:*:*

cpe:2.3:a:zabbix:zabbix:7.0.0:beta1:*:*:*:*:*:*

EPSS

Процентиль: 100%

0.76618

Высокий

9.1 Critical

CVSS3

8.8 High

CVSS3

Дефекты

CWE-20

Связанные уязвимости

CVE-2024-22120

CVSS3: 9.1

ubuntu

больше 2 лет назад

CVE-2024-22120

CVSS3: 9.1

debian

больше 2 лет назад

Zabbix server can perform command execution for configured scripts. Af ...

GHSA-625f-58w6-wj9f

CVSS3: 9.1

github

больше 2 лет назад

BDU:2024-03942

CVSS3: 9.1

fstec

больше 2 лет назад

Уязвимость сервера универсальной системы мониторинга Zabbix Workstation, связанная с ошибками при обработке входных данных, позволяющая нарушителю выполнить произвольный код

ROS-20240611-05

CVSS3: 9.1

redos

больше 2 лет назад

Уязвимость zabbix

EPSS

Процентиль: 100%

0.76618

Высокий

9.1 Critical

CVSS3

8.8 High

CVSS3

Дефекты

CWE-20