The remote host is running Zabbix, an IT monitoring service.  Versions of Zabbix earlier than 1.8.18 or 2.0.9 are contain a number of SQL injection vulnerabilities via the API and web front end. The following API methods are reported to be vulnerable:

  - alert.get: time_from, time_till;
  - event.get: object, source, eventid_from, eventid_till;
  - graphitem.get: parameter: type;
  - graph.get: parameter: type;
  - graphprototype.get: parameter: type;
  - history.get: parameter: time_from, time_till;
  - trigger.get: parameter: lastChangeSince, lastChangeTill, min_severity;
  - triggerprototype.get: parameter: min_severity;
  - usergroup.get: parameter: status

Other pages vulnerable to SQL injection include the "Dashboard", "Graphs", "Maps", "Latest data" and "Screens" pages in the "Monitoring" section. Successful attacks allow an attacker to gain access to the database and execute arbitrary SQL statements.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Multiple SQL injection vulnerabilities in Zabbix 1.8.x before 1.8.18rc1, 2.0.x before 2.0.9rc1, and 2.1.x
    before 2.1.7. (CVE-2013-5743)

根据其自我报告的版本号，在远程主机上监听的 Zabbix 实例的版本低于 1.8.18rc1 / 2.0.9rc1 / 2.1.7。因此，它可能受到多种 SQL 注入漏洞的影响。据报告，以下 API 方法和参数受到影响：

- alert.get 参数：time_from、time_till
 - event.get 参数：object、source、eventid_from、eventid_till
 - graphitem.get 参数：type
 - graph.get 参数：type
 - graphprototype.get 参数：type
 - history.get 参数：time_from, time_till
 - trigger.get 参数：lastChangeSince、lastChangeTill、min_severity
 - triggerprototype.get 参数：min_severity
 - usergroup.get 参数：status

此外据报告，用于将图形或映射等对象添加到收藏的代码也受到 SQL 注入攻击的影响。据报告，“Monitoring”部分中的“Dashboard”、“Graphs”、“Maps”、“Latest data”和“Screens”页面受到影响。

请注意，Nessus 未测试这些问题，而是依赖于 Zabbix 登录页面中的版本。

根據其自我報告的版本號碼，在遠端主機上接聽的 Zabbix 執行個體版本比 1.8.18rc1 / 2.0.9rc1 / 2.1.7 舊。因此可能受到多個 SQL 插入弱點影響。據報下列 API 方法和參數受到影響：

- alert.get 參數：time_from、time_till
 - event.get 參數：object、source、eventid_from、eventid_till
 - graphitem.get 參數：type
 - graph.get 參數：type
 - graphprototype.get 參數：type
 - history.get 參數：time_from、time_till
 - trigger.get 參數：lastChangeSince、lastChangeTill、min_severity
 - triggerprototype.get 參數：min_severity
 - usergroup.get 參數：status

此外，用於將圖表或地圖等物件新增至我的最愛的程式碼，據報也受到 SQL 插入攻擊影響。據報，「監控」區段中的「儀表板」、「圖表」、「地圖」、「最新資料」和「畫面」頁面受到影響。

請注意，Nessus 並未測試這些問題，而是依據 Zabbix 登入頁面上的版本。

自己報告されたバージョン番号によると、リモートホストでリッスン中の Zabbix のインスタンスは、1.8.18rc1 / 2.0.9rc1 / 2.1.7 以前です。したがって、複数の SQL インジェクションの脆弱性の影響を受ける可能性があります。以下の API メソッドおよびパラメーターが影響を受けていると報告されています：

- alert.get パラメーター：time_from、time_till
 - event.get パラメーター：object、source、eventid_from、eventid_till
 - graphitem.get パラメーター：type
 - graph.get パラメーター：type
 - graphprototype.get パラメーター：type
 - history.get パラメーター：time_from、time_till
 - trigger.get パラメーター：lastChangeSince、lastChangeTill、min_severity
 - triggerprototype.get パラメーター：min_severity
 - usergroup.get パラメーター：status

さらに、グラフやマップなどのオブジェクトをお気に入りに追加するために使用するコードも、SQL インジェクション攻撃　の影響を受けていると報告されています。「Monitoring」セクションの「Dashboard」、「Graphs」、「Maps」、「Latest data」、および「Screens」ページが影響を受けていると報告されています。

Nessus では、これらの欠陥をテストしていませんが、その代わりに Zabbix ログインページのバージョンに依存していることに、注意してください。

According to its self-reported version number, the instance of Zabbix listening on the remote host is a version prior to 1.8.18rc1 / 2.0.9rc1 / 2.1.7.  It is, therefore, potentially affected by multiple SQL injection vulnerabilities.  The following API methods and parameters are reportedly affected :

  - alert.get            parameters : time_from, time_till
  - event.get            parameters : object, source, eventid_from, eventid_till
  - graphitem.get        parameter  : type
  - graph.get            parameters : type
  - graphprototype.get   parameter  : type
  - history.get          parameters : time_from, time_till
  - trigger.get          parameters : lastChangeSince, lastChangeTill, min_severity
  - triggerprototype.get parameter  : min_severity
  - usergroup.get        parameter  : status

Additionally, code used to add objects such as graphs or maps to favorites is reportedly also affected by SQL injection attacks.  The 'Dashboard', 'Graphs', 'Maps', 'Latest data', and 'Screens' pages in the 'Monitoring' section are reported to be affected. 

Note that Nessus has not tested for these issues but has instead relied on the version in the Zabbix login page.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
8049	Zabbix < 1.8.18 / 2.0.9 Multiple SQL Injection Vulnerabilities	Nessus Network Monitor	Generic	2010/11/12	2019/3/6	medium
401212	Alpine: multiple zabbix packages: security update to 2.0.8-r2 (deprecated)	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	critical
401212	Alpine: multiple zabbix packages: security update to 2.0.8-r2 (deprecated)	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	critical
70497	Zabbix < 1.8.18rc1 / 2.0.9rc1 / 2.1.7 多种 SQL 注入	Nessus	CGI abuses	2013/10/18	2025/5/14	medium
70497	Zabbix < 1.8.18rc1 / 2.0.9rc1 / 2.1.7 多個 SQL 插入弱點	Nessus	CGI abuses	2013/10/18	2025/5/14	medium
70497	Zabbix < 1.8.18rc1 / 2.0.9rc1 / 2.1.7 の複数の SQL インジェクション	Nessus	CGI abuses	2013/10/18	2025/5/14	medium
70497	Zabbix < 1.8.18rc1 / 2.0.9rc1 / 2.1.7 Multiple SQL Injections	Nessus	CGI abuses	2013/10/18	2025/5/14	medium

检测

插件搜索

medium

critical

critical

medium

medium

medium

medium