S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 29 janvier 2007 No CERTA-2007-AVI-001-001

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Cacti

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• contournement de la politique de sécurité ;
• atteinte à l'intégrité des données.

2 Systèmes affectés

Cacti versions 0.8.6i et antérieures.

3 Description

Trois vulnérabilités ont été découvertes dans Cacti. Ces trois vulnérabilités sont présentes dans le fichier cmd.php. Elles permettent d'exécuter des commandes arbitraires à distance et d'injecter du code SQL.

4 Solution

Le fichier cmd.php a été mis à jour dans la version subversion de Cacti.

5 Documentation

• Site de Cacti :

  http://www.cacti.net
  

• Mise à jour du fichier cmd.php :

  http://svn.cacti.net/cgi-bin/viewcvs.cgi/branches/BRANCH_0_8_6/cacti/cmd.php?rev=3838&view=log
  

• Bulletin de sécurité OpenPKG-SA-2007.001 du 01 janvier 2007 :

  http://www.openpkg.com/security/advisories/OpenPKG-SA-2007.001.html
  

• Référence CVE CVE-2006-6799 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-6799
  

• Bulletin de sécurité Debian du 17 janvier 2007 :

  http://www.us.debian.org/security/2007/dsa-1250
  

• Bulletin de sécurité Suse du 12 janvier 2007 :

  http://www.novell.com/linux/security/advisories/2007_07_cacti.html
  

• Bulletin de sécurité Mandriva du 15 janvier 2007 :

  http://www.mandriva.com/security/advisories?name=MDKSA-2007:015
  

Gestion détaillée du document

02 janvier 2007

version initiale.

29 janvier 2007

ajout des références aux bulletins de sécurité de Suse, Mandriva et Debian.