Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cacti <= 0.8.8f Betroffene Plattformen: Debian Linux 7.9 Wheezy Debian Linux 8.2 Jessie Debian Linux 9.0 Stretch Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in Cacti ausnutzen, um beliebige SQL-Befehle einzuschleusen und auszuführen. Debian stellt für die Distributionen 7.9 (wheezy), 8.2 (jessie) und 9.0 (stretch) Backport-Sicherheitsupdates bereit, um die Schwachstelle zu beheben. Patch: Debian Security Advisory DSA-3423-1 https://www.debian.org/security/2015/dsa-3423

CVE-2015-8369: Schwachstelle in Cacti ermöglicht SQL Injection

Eine Schwachstelle in Cacti basiert auf der unzureichenden Überprüfung bzw.
Maskierung der Benutzereingabe des Wertes ‘rra_id’ an das Skript graph.php
via URL, wodurch sich beliebige SQL-Befehle darin einbetten lassen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1953/

Schwachstelle CVE-2015-8369 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8369

Debian Security Advisory DSA-3423-1:
https://www.debian.org/security/2015/dsa-3423

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.