RNP > Serviços > Segurança em redes > Alertas do CAIS

iDefense Security Advisory

Múltiplas vulnerabilidades no aplicativo Cacti versão 0.8.6d e anteriores

[CAIS, 23.06.2005-16:19, revisão 01]

O CAIS está repassando três alertas da iDEFENSE, intitulados "Multiple Vendor Cacti Multiple SQL Injection Vulnerabilities", "Multiple Vendor Cacti config_settings.php Remote Code Execution Vulnerability" e "Multiple Vendor Cacti Remote File Inclusion Vulnerability" , que tratam de vulnerabilidades encontradas no software Cacti. O Cacti é um front-end baseado em Web (PHP) para o RRDTool, que é uma ferramenta de armazenamento de informações e geração de gráficos.

Os alertas tratam das seguintes vulnerabilidades encontradas no Cacti:

• Falha na validação dos dados de entrada no script config_settings.php permite ao atacante executar consultas SQL arbitrarias (SQL Injection), que podem permitir ao atacante até mesmo recuperar a senha administrativa de instalação do Cacti que, apesar de criptografada, pode ser quebrada por ataques de forca bruta.
• Execução remota de código através do script config_settings.php, que devido a um erro na validação da entrada de dados, pode permitir que um atacante insira código malicioso PHP em sistemas vulneráveis a partir de sites remotos. Um ataque realizado com sucesso explorando esta vulnerabilidade pode dar ao atacante a possibilidade de execução de remota de código com os privilégios do usuário que executa o servidor web, podendo inclusive obter um shell com as permissões deste usuário no sistema.
• Execução remota de código através do script top_graph_header.php, da mesma forma que apresentado no item anterior.

Gostariamos de ressaltar que as vulnerabilidades presentes no software Cacti são críticas. Já foram confirmadas a existência de exploits para as falhas reportadas, e já obtivemos relatos de sistemas que sofreram, com sucesso, ataques contra este software.

Recomendamos aos administradores de sistemas que possuem o software Cacti instalado que verifiquem seus arquivos de logs a procura da seguinte assinatura, indicio de um ataque contra o sistema:
GET /cacti/include/top_graph_header.php?config[library_path]=

Sistemas afetados:

• Cacti 0.8.6d, Cacti 0.8.6c e possivelmente versões anteriores.

Correções disponíveis:

Recomenda-se fazer a atualização para as versões disponíveis em:

• Cacti-0.8.6e - Linux
• Cacti-0.8.6e - Windows
• RPMs e SRPMs

Mais informações:

• Multiple Vendor Cacti Multiple SQL Injection Vulnerabilities
• Multiple Vendor Cacti config_settings.php Remote Code Execution Vulnerability
• Multiple Vendor Cacti Remote File Inclusion Vulnerability
• Cacti website

Identificador CVE (http://cve.mitre.org): CAN-2005-1525, CAN-2005-1526 e CAN-2005-1524

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

O CAIS Alerta também é oferecido no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais