CVE-2024-36461 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Zabbix 6.0.30/6.4.15/7.0.0 存在内存指针修改漏洞。 💥 **后果**：攻击者可直接操控 JavaScript 引擎内存，导致服务崩溃或执行恶意代码。

🔍 **CWE**：CWE-822（未信任的指针解引用）。 📍 **缺陷点**：用户输入未充分校验，直接修改了 JS 引擎内部的**内存指针**，破坏内存完整性。

🏢 **厂商**：Zabbix。 📦 **受影响版本**： - Zabbix **6.0.30** - Zabbix **6.4.15** - Zabbix **7.0.0** ⚠️ 其他版本未在数据中明确提及。

🕵️ **权限**：需低权限（PR:L）。 📊 **影响**： - **机密性**：低（C:L） - **完整性**：低（I:L） - **可用性**：**高**（A:H） 👉 黑客可导致监控服务**宕机**或轻微数据篡改。

🔑 **门槛**：中等。 ✅ **认证**：需要**本地权限**（PR:L）。 🌐 **网络**：远程可利用（AV:N）。 👤 **交互**：无需用户交互（UI:N）。 ⚡ **复杂度**：低（AC:L），利用简单。

📜 **PoC**：数据中 **pocs** 字段为空。 🌍 **在野**：未提及。 🔗 **参考**：ZBX-25018（官方工单），暂无公开 Exp 证据。

🔎 **自查特征**： 1. 检查 Zabbix 版本是否为 **6.0.30**、**6.4.15** 或 **7.0.0**。 2. 扫描是否暴露 Zabbix Web 界面。 3. 监控 JS 引擎异常崩溃日志。

🛡️ **官方状态**：已发布安全公告（ZBX-25018）。 💊 **补丁**：建议升级至**最新安全版本**（数据未提供具体修复版本号，需查官方最新公告）。

🚧 **临时规避**： 1. **限制访问**：仅允许可信 IP 访问 Zabbix Web。 2. **最小权限**：确保 Zabbix 服务账户权限最低。 3. **WAF 防护**：拦截异常的 JS 引擎交互请求。

⚡ **优先级**：**高**。 📈 **理由**：CVSS 评分高（可用性影响大），利用门槛低（无需交互、远程）。虽需本地权限，但一旦突破，服务可用性风险极大。建议**立即升级**。