Mehrere Lücken in Cacti geschlossen

Im quelloffenen Netzwerkstatistik-Programm Cacti haben italienische Sicherheitsforscher mehrere Sicherheitslücken entdeckt, die die Entwickler der Software in aktualiserten Programmversionen geschlossen haben. Angreifer können durch die Lücken SQL-Injections und Cross-Site-Scripting-Angriffe ausführen.

Zahlreiche Skripte prüfen übergebene Parameter nicht korrekt, sodass Angreifer Befehle an die zugrundeliegende MySQL-Datenbank absetzen und so Inhalte auslesen oder manipulieren können. Die Sicherheitsmeldung listet die Dateien graph_view.php (graph_list-Parameter), tree.php (leaf_id-Parameter), graph_xport.php (local_graph_id-Parameter), tree.php (id-Parameter) und index.php/login (login_username-Parameter) als anfällig für das Einschleusen von SQL-Befehlen auf.

Cross-Site-Scripting soll in den Dateien graph.php (view_type-Parameter), graph_view.php (filter-Parameter) und index.php/login (action- und login_username-Parameter) möglich sein. Durch den local_graph_id-Parameter in graph.php sollen Angreifer auch den Pfad zu Cacti auslesen können.

Die Fehler betreffen Cacti 0.8.7a und ältere Versionen. Die Entwickler haben inzwischen die Versionen 0.8.7b und 0.8.6k veröffentlicht, die die Schwachstellen nicht mehr enthalten. Nutzer von Cacti sollten die aktualisierte Version rasch herunterladen und einspielen.

Siehe dazu auch:

• Multiple Vulnerabilities in Cacti, Sicherheitsmeldung von Francesco "ascii" Ongaro und Antonio "s4tan" Parata
• Download der aktuellen Cacti-Version
• Changelog, Zusammenfassung der Änderungen in Cacti

(dmk)