Dienste-Monitoring: Angreifer können Cacti beliebigen Code unterschieben
In der Webanwendung Cacti, die etwa zur Diensteüberwachung dient, könnten Angreifer beliebigen Code einschleusen und ausführen. Ein Patch ist verfügbar.
(Bild: Carlo Toffolo/Shutterstock.com)
Eine kritische Sicherheitslücke in der Service-Monitorung-Software Cacti können Angreifer aus dem Netz missbrauchen, um beliebigen Code einzuschleusen und auszuführen. Patches zum Abdichten des Sicherheitslecks stehen bereit. Administratoren sollten sie schnell anwenden.
Mit der Webanwendung Cacti lassen sich Dienste überwachen und Informationen grafisch mittels RRDTool aufbereitet darstellen. Aufgrund einer Schwachstelle können unangemeldete Nutzer aus dem Netz Befehle einschleusen und so beliebigen Code auf dem Server ausführen, auf dem Cacti läuft. Als Einschränkung muss dazu eine bestimmte Datenquelle für ein überwachtes Gerät ausgewählt worden sein (CVE-2022-46169, CVSS 9.8, Risiko "kritisch").
Konkrete Schwachstelle in Monitoring-Software Cacti
Die Sicherheitslücke findet sich in der Datei remote_agent.php. Auf diese lässt sich ohne vorherige Authentifizierung zugreifen. Zwar gebe es einen Mechanismus, der einen Client autorisiert. Aufgrund einer ungeschickten Implementierung können Angreifer jedoch Inhalte bestimmter Variablen vorgeben und damit die Tests aushebeln, wodurch die Autorisierung positiv beschieden wird.
In der Sicherheitsmeldung beschreiben die Entwickler, wie Fehlerbehebungen aussehen könnten. Einfache Lösungen für Administratoren sind jedoch nicht darunter, sondern lediglich Überlegungen zu Anpassungen des Quellcodes.
Der Fehler betrifft Cacti 1.2.22 und wird in den Fassungen 1.2.23 sowie 1.3.0 behoben. Auf der Download-Seite des Projekts ist noch die fehlerhafte Fassung 1.2.22 aus dem August dieses Jahres verfĂĽgbar. Die Patches stehen jedoch im Quelltext ganz am Ende der Sicherheitsmeldung des Projekts bereit.
Themenseite zu Cybersecurity auf heise online
(dmk)
