一、背景介绍
近日，市委网信办技术支撑单位监测到Zabbix zbx_auditlog_global_script SQL注入漏洞(CVE-2024-22120)在互联网上公开。
1.1漏洞描述
Zabbix是一个开源的监控解决方案，用于监控网络和应用程序的性能和健康状况。它能够监控IT基础设施，包括服务器、虚拟机、网络设备、Web应用程序等。
在Zabbix系统中，具有Detect operating system权限的用户可以通过时间注入获取管理员凭证，进一步利用可以结合后台功能执行代码。鉴于该漏洞影响范围较大，建议尽快做好自查及防护。
1.2漏洞编号
CVE-2024-22120
1.3漏洞等级
高危
二、修复建议
2.1受影响版本
6.0.0 <= Zabbix <= 6.0.27
6.4.0 <= Zabbix <= 6.4.12
7.0.0alpha1 <= Zabbix <= 7.0.0beta1
2.2修复建议
目前官方已有可更新版本，建议受影响用户升级至安全版本 6.0.28rc1、6.4.13rc1、7.0.0beta2及以上。
