DFN-CERT-2012-0045 Mehrere Schwachstellen in Cacti [Linux][Debian]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket cacti in Debian GNU/Linux 5.0 (lenny) vor Version 0.8.7b-2.1+lenny4
Paket cacti in Debian GNU/Linux 6.0 (squeeze) vor Version 0.8.7g-1+squeeze1
Paket cacti in Debian GNU/Linux unstable (sid) vor Version 0.8.7i-2

Betroffene Plattformen:

Debian GNU/Linux 5.0 (lenny)
Debian GNU/Linux 6.0 (squeeze)
Debian GNU/Linux unstable (sid)

Mehrere Schwachstellen in Cacti erlauben es einem entfernten Angreifer unter
anderem beliebige SQL Befehle auszufÃŒhren oder beliebige Script-Befehle in
die Anwendung einzuschleusen, und diese im Browser eines anderen Benutzers
auszufÃŒhren.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://security.debian.org/pool/updates/main/

CVE-2011-4824: SQL Injection Schwachstelle in Cacti

Cacti vor Version 0.8.7h filtert den Parameter ‘login_username’ im PHP-Modul
‘auth_login.php’ nicht ausreichend auf unzulÃ€ssige Inhalte. Dies ermÃ¶glicht
einem entfernten Angreifer durch SQL Injection beliebige SQL Befehle
auszufÃŒhren.

CVE-2010-2543: Cross-site Scripting Schwachstelle in Cacti

Cacti vor Version 0.8.7g filtert den Parameter ‘graph_start’ im PHP-Modul
‘graph.php’
nicht ausreichend auf unzulÃ€ssige Inhalte. Dies ermÃ¶glicht es einem
Angreifer, Script-Befehle in die Anwendung einzuschleusen, und diese
im Browser eines anderen Benutzers auszufÃŒhren.

CVE-2010-2545: Mehrere Cross-site Scripting Schwachstellen in Cacti

In einer Reihe von Cacti vor Version 0.8.7g verwendeter PHP-Module wird nur
eine
unzureichende Filterung von Funktionsparametern auf unzulÃ€ssige
Inhalte durchgefÃŒhrt. Diese erlauben es einem Angreifer Script-Befehle
in die Anwendung einzuschleusen und beliebige Befehle im Kontext der
Anwendung auszufÃŒhren.

CVE-2010-1644: Cross-site Scripting Schwachstellen in Cacti

Cacti bis Version 0.8.7f filtert verschiedene Parameter der beiden
PHP-Module ‘host.php’
und ‘data_sources.php’ nicht ausreichend auf unzulÃ€ssige Inhalte.
Dies ermÃ¶glicht es einem Angreifer, Script-Befehle in die Anwendung
einzuschleusen, und diese im Browser eines anderen Benutzers auszufÃŒhren.

CVE-2010-1645: Schwachstelle im Cacti Graph-Template

Im von Cacti bis zur Version 0.8.7f verwendeten Graph-Template werden die
FQDN-Felder eines
‘Device’ oder ‘Vertical Label’-Feldes nicht auf Shell Meta-Zeichen
gefiltert. Dies ermÃ¶glicht es einem entfernten Angreifer, Shell
Befehle einzuschleusen und diese im Rechtekontext der Anwendung auf
dem Server auszufÃŒhren.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0045/

Das Hersteller Advisory:
http://www.debian.org/security/2012/dsa-2384

Schwachstelle CVE-2010-1644:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1644

Schwachstelle CVE-2010-1645:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1645

Schwachstelle CVE-2010-2543:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2543

Schwachstelle CVE-2010-2545:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2545

Schwachstelle CVE-2011-4824:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4824