Две SQL-инъекции в Zabbix: API-аккаунт оказался главным периметром

Разбор CVE-2024-42327 (SQL-инъекция в user.get через selectRole, CVSS 9.9) и CVE-2024-22120 (инъекция в поле clientip журнала аудита, CVSS 9.1). Исправления вышли в 6.0.32, 6.4.17 и 7.0.1; в интернете более 83 тыс. инстансов Zabbix.

• CVE-2024-42327: SQL-инъекция в user.get, CVSS 9.9, нужен лишь API-доступ без прав админа
• CVE-2024-22120: инъекция в clientip журнала аудита, CVSS 9.1, аккаунт не требуется
• Патчи в 6.0.32, 6.4.17 и 7.0.1; затронуты ветки 6.0, 6.4 и 7.0
• Qualys насчитала более 83 тыс. доступных из интернета серверов Zabbix