Marianne ANSSI

CERTA

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques

liseret droit

Contact

Contacter le CERTA

Contact us ( Drapeau anglais )

A propos du site

Recherche

Rechercher sur le site

Les documents du CERTA

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours

Les Flux RSS du CERTA

Flux RSS complet
Flux RSS des alertes

Informations utiles

Que faire en cas d'intrusion ?

Les mémentos du CERTA

Les systèmes obsolètes

CERTA-2011-AVI-699

Imprimer ce document

A propos du CERTA

Archives du CERTA

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française

Paris, le 15 décembre 2011
N^o CERTA-2011-AVI-699

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Multiples vulnérabilités dans Cacti

Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2011-AVI-699

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2011-AVI-699
Titre	Multiples vulnérabilités dans Cacti
Date de la première version	15 décembre 2011
Date de la dernière version	-
Source(s)	Note de sortie de Cacti 0.8.7i
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Injection SQL ;
injection de code indirecte à distance ;
injection de requêtes illégitime par rebond.

2 Systèmes affectés

Cacti versions antérieures à 0.8.7i.

3 Résumé

Plusieurs vulnérabilités dans Cacti permettent à une personne malintentionnée d'effectuer plusieurs types d'injections pouvant mener à une compromission.

4 Description

Les vulnérabilités suivantes ont été corrigées dans Cacti :

Contournement de l'authentification au moyen d'une injection SQL sur le paramètre login_username dans la page /cacti/index.php.
Injections de code indirecte à distance (cross-site scripting) dans la page /cacti/graph_settings.php.
Injection de requête illégitime par rebond (cross-site request forgery) dans la page /cacti/logout.php.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). La version 0.8.7i corrige le problème.

6 Documentation

Note de sortie de Cacti 0.8.7i :

http://www.cacti.net/release_notes_0_8_7i.php

Rapport de vulnérabilités de la version 0.8.7g :
```
http://bugs.cacti.net/view.php?id=2062
```

Gestion détaillée du document

15 décembre 2011: version initiale.

CERTA
2012-01-04

liserest gauche

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

Dernière mise à jour : le 25/05/2012