Objet: Vulnérabilités dans Cacti

• Référence: CERTA-2007-AVI-001-001
• Titre: Vulnérabilités dans Cacti
• Date de la première version: 02 janvier 2007
• Date de la dernière version: 29 janvier 2007
• Source(s): Avis OpenPKG-SA-2007.001 du 01 janvier 2007
• Pièce(s) jointe(s): Aucune(s)

Risque

• Exécution de code arbitraire à distance ;
• contournement de la politique de sécurité ;
• atteinte à l'intégrité des données.

Systèmes affectés

Cacti versions 0.8.6i et antérieures.

Description

Trois vulnérabilités ont été découvertes dans Cacti. Ces trois vulnérabilités sont présentes dans le fichier cmd.php. Elles permettent d'exécuter des commandes arbitraires à distance et d'injecter du code SQL.

Solution

Le fichier cmd.php a été mis à jour dans la version subversion de Cacti.

Documentation

• Site de Cacti :

  http://www.cacti.net
  

• Mise à jour du fichier cmd.php :

  http://svn.cacti.net/cgi-bin/viewcvs.cgi/branches/BRANCH_0_8_6/cacti/cmd.php?rev=3838&view=log
  

• Bulletin de sécurité OpenPKG-SA-2007.001 du 01 janvier 2007 :

  http://www.openpkg.com/security/advisories/OpenPKG-SA-2007.001.html
  

• Référence CVE CVE-2006-6799 :

  https://www.cve.org/CVERecord?id=CVE-2006-6799
  

• Bulletin de sécurité Debian du 17 janvier 2007 :

  http://www.us.debian.org/security/2007/dsa-1250
  

• Bulletin de sécurité Suse du 12 janvier 2007 :

  http://www.novell.com/linux/security/advisories/2007_07_cacti.html
  

• Bulletin de sécurité Mandriva du 15 janvier 2007 :

  http://www.mandriva.com/security/advisories?name=MDKSA-2007:015
  

Gestion détaillée du document

le 02 janvier 2007

version initiale.

le 29 janvier 2007

ajout des références aux bulletins de sécurité de Suse, Mandriva et Debian.