Zabbix, una herramienta ampliamente utilizada para el monitoreo de redes y sistemas, ayuda a las organizaciones a supervisar y gestionar sus infraestructuras de TI mediante una visión integral del rendimiento. Recientemente, se ha identificado vulnerabilidades críticas que afectan a este software.
CVE-2024-42327 (CVSS 9.9):
Esta vulnerabilidad se encuentra en la clase CUser del código fuente de Zabbix, específicamente en la función addRelatedObjects, que es llamada por la función CUser.get. Ambas funciones son accesibles para cualquier usuario con permisos de API. Esto permite que un atacante, incluso con una cuenta no administrativa asignada con el rol predeterminado de usuario u otro rol que conceda acceso a la API, pueda explotar la vulnerabilidad mediante inyección SQL (SQLi). El impacto incluye la exposición de información sensible, la modificación de datos críticos y la posibilidad de inhabilitar el sistema afectado.
CVE-2024-42330 (CVSS 9.1):
La vulnerabilidad, surge debido a una codificación incorrecta de los encabezados HTTP en el objeto HttpRequest. Esto permite a los atacantes crear solicitudes maliciosas que pueden llevar a la ejecución remota de código.
| CVE | Productos y versiones afectadas | Solución |
| CVE-2024-42327 | Desde la versión 6.0.0 hasta 6.0.31 Desde la versión 6.4.0 hasta 6.4.16 Versión 7.0.0 | 6.0.32rc1 o superior para la serie 6.0.x 6.4.17rc1 o superior para la serie 6.4.x 7.0.1rc1 o superior para la serie 7.0.x |
| CVE-2024-42330 | Desde la versión 6.0.0 hasta la 6.0.33. Desde la versión 6.4.0 hasta la 6.4.18. Desde la versión 7.0.0 hasta la 7.0.3. | 6.0.34rc1 6.4.19rc1 7.0.4rc1 |
Recomendaciones
- Instalar las actualizaciones recomendadas por el proveedor lo antes posible.
- Restringir el acceso a la API exclusivamente a las cuentas necesarias para su operación.
- Revisar las configuraciones de seguridad de los sistemas monitoreados para reducir riesgos adicionales.
- Monitorear y auditar regularmente las actividades realizadas a través de la API para detectar accesos no autorizados.
- Implementar controles de acceso estrictos para los servidores de Zabbix, limitando el acceso solo a usuarios autorizados.
Referencias