All errata/c9f2/ALT-PU-2025-3400-3
ALT-PU-2025-3400-3

Package update zabbix in branch c9f2

Version5.0.46-alt0.c9f2.1
Task#375902
Published2026-02-04
Max severityCRITICAL
Severity:

Closed issues (12)

BDU:2024-10774
CRITICAL9.1

Уязвимость сервера универсальной системы мониторинга Zabbix, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Published: 2025-05-06Modified: 2026-02-16
CVSS 3.xCRITICAL 9.1
CVSS:3.x/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CVSS 2.0CRITICAL 9.0
CVSS:2.0/AV:N/AC:L/Au:S/C:C/I:C/A:C
References
BDU:2024-10777
HIGH7.5

Уязвимость интерфейса универсальной системы мониторинга Zabbix, позволяющая нарушителю повысить свои привилегии

Published: 2024-12-05Modified: 2026-02-16
CVSS 3.xHIGH 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS 2.0HIGH 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:N/A:N
References
BDU:2024-10864
MEDIUM6.5

Уязвимость метода atob универсальной системы мониторинга Zabbix, позволяющая нарушителю оказать воздействие на целостность защищаемой информации

Published: 2024-12-06Modified: 2026-02-16
CVSS 3.xMEDIUM 6.5
CVSS:3.x/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0MEDIUM 6.8
CVSS:2.0/AV:N/AC:L/Au:S/C:N/I:N/A:C
References
BDU:2025-00337
LOW2.2

Уязвимость сервера универсальной системы мониторинга Zabbix, связанная с недостаточной проверкой входных данных, позволяющая нарушителю повысить свои привилегии

Published: 2025-01-16Modified: 2026-02-16
CVSS 3.xLOW 2.2
CVSS:3.x/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:L
CVSS 2.0LOW 1.7
CVSS:2.0/AV:N/AC:H/Au:M/C:N/I:N/A:P
References
BDU:2025-05635
LOW3.5

Уязвимость компонента API универсальной системы мониторинга Zabbix, позволяющая нарушителю раскрыть защищаемую информацию

Published: 2025-05-16Modified: 2026-02-16
CVSS 3.xLOW 3.5
CVSS:3.x/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
CVSS 2.0LOW 2.7
CVSS:2.0/AV:A/AC:L/Au:S/C:P/I:N/A:N
References
BDU:2025-07164
LOW3.1

Уязвимость сервера универсальной системы мониторинга Zabbix, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Published: 2025-06-20Modified: 2026-02-16
CVSS 3.xLOW 3.1
CVSS:3.x/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS 2.0LOW 1.8
CVSS:2.0/AV:A/AC:H/Au:N/C:P/I:N/A:N
References
CVE-2024-22117
LOW2.2

When a URL is added to the map element, it is recorded in the database with sequential IDs. Upon adding a new URL, the system retrieves the last sysmapelementurlid value and increments it by one. However, an issue arises when a user manually changes the sysmapelementurlid value by adding sysmapelementurlid + 1. This action prevents others from adding URLs to the map element.

Published: 2024-11-26Modified: 2025-10-08
CVSS 3.xLOW 2.2
CVSS:3.x/CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:L/A:N
References
CVE-2024-36463
HIGH8.8

The implementation of atob in "Zabbix JS" allows to create a string with arbitrary content and use it to access internal properties of objects.

Published: 2024-11-26Modified: 2025-10-08
CVSS 3.xHIGH 8.8
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
References
CVE-2024-36467
HIGH8.8

An authenticated user with API access (e.g.: user with default User role), more specifically a user with access to the user.update API endpoint is enough to be able to add themselves to any group (e.g.: Zabbix Administrators), except to groups that are disabled or having restricted GUI access.

Published: 2024-11-27Modified: 2025-10-08
CVSS 3.xHIGH 8.8
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
References
CVE-2024-36469
LOW2.3

Execution time for an unsuccessful login differs when using a non-existing username compared to using an existing one.

Published: 2025-04-02Modified: 2025-11-03
CVSS 3.xLOW 3.1
CVSS:3.x/CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS 4.0LOW 2.3
CVSS:4.0/CVSS:4.0/AV:A/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
References
CVE-2024-42325
LOW2.1

Zabbix API user.get returns all users that share common group with the calling user. This includes media and other information, such as login attempts, etc.

Published: 2025-04-02Modified: 2025-11-03
CVSS 3.xLOW 3.5
CVSS:3.x/CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
CVSS 4.0LOW 2.1
CVSS:4.0/CVSS:4.0/AV:A/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
References
CVE-2024-42330
CRITICAL9.1

The HttpRequest object allows to get the HTTP headers from the server's response after sending the request. The problem is that the returned strings are created directly from the data returned by the server and are not correctly encoded for JavaScript. This allows to create internal strings that can be used to access hidden properties of objects.

Published: 2024-11-27Modified: 2025-11-03
CVSS 3.xCRITICAL 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
References