1. Bulletin de Sécurité Gentoo
| Référence | GLSA 200604-07 / cacti |
| Date de Parution | 14 Avril 2006 |
| Impact | Haut |
| Exploitabilité | Distante |
2. Versions affectées
| Package | Vulnérables | Non-affectées | Architecture(s) |
| net-analyzer/cacti | < 0.8.6h_p20060108-r2 | >= 0.8.6h_p20060108-r2 | Toutes |
3. Synopsis
De multiples vulnérabilités ont été découvertes dans la couche ADOdb qu'utilise Cacti. Ces dernières peuvent être utilisées pour executer une portion de code arbitraire sur la machine vulnérable.
4. Informations
Cacti est une interface Web à rrdtool. ADOdb est une librairie PHP distribuée avec Cacti fournissant une interface d'accès unifié à la couche base de données.
5. Description
Plusieurs failles ont été identifiées dans la copie de ADOdb présente dans Cacti. Andreas Sandblad a découvert dans cette version de ADOdb une vulnérabilité de type SQL injection (CVE-2006-0146) ainsi qu'une évaluation dynamique de code arbitraire (CVE-2006-0147). Andy Staudacher a reporté l'existence d'une autre faille de type SQL injection (CVE-2006-0410). De plus, Gulftech Security a mis en évidence plusieurs bugs de type Cross Site Scripting (CVE-2006-0806).
6. Impact de la faille
En envoyant certaines requêtes malicieuses à l'application Web Cacti, il est possible pour des attaquants distants de faire executer par cette dernière une portion de code arbitraire, de compromettre la base de donnée sous-jacente, ou encore d'injecter des scripts dans les pages html de Cacti.
7. Solution de contournement
Il n'existe aucune solution de contournement à l'heure actuelle.
8. Correction de la faille
Les utilisateurs de Cacti doivent mettre à jour ce dernier:
# emerge --sync # emerge --ask --oneshot --verbose ">=net-analyzer/cacti-0.8.6h_p20060108-r2"
9. Références