Avis du CERT-FR
Objet : Vulnérabilités dans Cacti
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
Cacti versions 0.8.6i et antérieures.
Description
Trois vulnérabilités ont été découvertes dans Cacti. Ces trois vulnérabilités sont présentes dans le fichier cmd.php. Elles permettent d'exécuter des commandes arbitraires à distance et d'injecter du code SQL.
Solution
Le fichier cmd.php a été mis à jour dans la version subversion de Cacti.
Documentation
-
Bulletin de sécurité Debian du 17 janvier 2007 :
http://www.us.debian.org/security/2007/dsa-1250 -
Bulletin de sécurité Mandriva du 15 janvier 2007 :
http://www.mandriva.com/security/advisories?name=MDKSA-2007:015 -
Bulletin de sécurité OpenPKG-SA-2007.001 du 01 janvier 2007 :
http://www.openpkg.com/security/advisories/OpenPKG-SA-2007.001.html -
Bulletin de sécurité Suse du 12 janvier 2007 :
http://www.novell.com/linux/security/advisories/2007_07_cacti.html -
Mise à jour du fichier cmd.php :
http://svn.cacti.net/cgi-bin/viewcvs.cgi/branches/BRANCH_0_8_6/cacti/cmd.php?rev=3838&view=log -
Site de Cacti :
http://www.cacti.net -
Référence CVE CVE-2006-6799
https://www.cve.org/CVERecord?id=CVE-2006-6799
Gestion détaillée du document
| Date | Description |
|---|---|
| 02 janvier 2007 | version initiale. |
| 29 janvier 2007 | ajout des références aux bulletins de sécurité de Suse, Mandriva et Debian. |