PT-2024-6098 · Zabbix+4 · Zabbix+4

Maksim Tiukov

+1

·

Publicado

2024-08-09

·

Atualizado

2024-12-10

·

CVE-2024-22122

CVSS v3.1

9.1

Crítica

VetorAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Zabbix 5.0.0 a 7.0.0rc2
Descrição
O problema está relacionado à configuração de notificações por SMS no Zabbix, onde ocorre uma injeção de comando AT devido à falta de validação do campo Number. Isso permite que um invasor execute comandos AT adicionais no modem, fornecendo um número de telefone especialmente criado durante um teste de SMS. A exploração dessa vulnerabilidade pode permitir que um invasor remoto execute comandos AT adicionais no modem.
Recomendações
Para as versões do Zabbix 5.0.0 a 7.0.0rc2, atualize para a versão mais recente para evitar ataques remotos.
Como solução temporária, considere restringir o acesso ao recurso de notificação por SMS até que um patch esteja disponível.
Evite usar o campo Number na configuração de notificação por SMS até que a vulnerabilidade seja resolvida.

Correção

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

ALT-PU-2024-11571
ALT-PU-2024-11575
ALT-PU-2024-15832
BDU:2024-07007
CVE-2024-22122
DLA-3909-1

Produtos afetados

Alt Linux
Astra Linux
Debian
Red Os
Zabbix