PT-2024-9095 · Zabbix+4 · Zabbix+4
Vjaceslavs Bogdanovs
·
Publicado
2024-05-28
·
Atualizado
2025-03-26
·
CVE-2024-36467
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas:
Zabbix (versões afetadas não especificadas)
Descrição:
O problema está relacionado a falhas no procedimento de autorização do sistema de monitoramento Zabbix. Isso permite que um invasor remoto eleve seus privilégios. Um usuário autenticado com acesso à API, especificamente ao endpoint
user.update, pode adicionar-se a qualquer grupo, exceto grupos desativados ou aqueles com acesso restrito à interface gráfica (GUI).Recomendações:
Para todas as versões afetadas, considere restringir o acesso ao endpoint da API
user.update até que um patch esteja disponível.Como solução temporária, restrinja a capacidade dos usuários de se adicionarem a grupos sensíveis, como Administradores.
Limite o acesso à API apenas aos usuários e funções necessários para minimizar o risco de exploração.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Improper Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Debian
Red Os
Zabbix