CVE-2024-42327 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Zabbix 存在 **SQL注入漏洞**。💥 **后果**：攻击者可操纵数据库查询，导致数据泄露或系统被控。

🔍 **CWE**：CWE-89 (SQL注入)。📍 **缺陷点**：`CUser` 类的 `addRelatedObjects` 函数未正确处理输入，导致SQL注入。

📦 **产品**：Zabbix。📅 **受影响版本**：6.0.0-6.0.31、6.4.0-6.4.16、7.0.0。✅ **安全版本**：6.0.32rc1、6.4.17rc1、7.0.1rc1。

👮 **权限**：无需管理员权限，普通用户（User角色）即可利用。📊 **数据**：可读取/修改数据库内容（CVSS评分高，C/I/A均为H）。

🚪 **门槛**：中等。✅ **认证**：需要登录（API访问权限）。🔓 **配置**：默认User角色即可触发，无需特殊配置。

💻 **Exp**：有现成PoC。🔗 **来源**：GitHub上多个仓库（如 `aramosf`, `compr00t`, `depers-rus`）已公开利用代码。

🔎 **自查**：检查Zabbix版本是否在受影响列表中。📡 **扫描**：针对 `user.get` API接口发送恶意SQL载荷，观察响应异常。

🛠️ **官方修复**：已发布修复版本（6.0.32rc1, 6.4.17rc1, 7.0.1rc1）。📢 **参考**：ZBX-25623。

🛡️ **临时规避**：限制API访问权限，仅对可信IP开放；或升级至修复版本。🚫 **最小权限**：确保非管理员用户无不必要的API访问权。

⚡ **优先级**：高。📈 **理由**：CVSS评分高，无需高权限即可利用，且PoC已公开，风险极大。