【漏洞通告】Cacti多个高危漏洞安全风险通告

admin 2024年5月17日17:12:45评论4 views字数 911阅读3分2秒阅读模式

漏洞背景

近日,嘉诚安全监测到Cacti存在多个高危漏洞:Cacti代码执行漏洞(CVE-2024-25641)、Cacti SQL注入漏洞(CVE-2024-31445)和Cacti文件包含漏洞(CVE-2024-31459),目前这些漏洞的PoC均已公开

Cacti是一款基于PHP开发的网络流量监测图形分析工具。

鉴于漏洞危害较大,嘉诚安全提醒相关用户尽快更新至安全版本,避免引发漏洞相关的网络安全事件。

漏洞详情

1、CVE-2024-25641

Cacti代码执行漏洞,经研判,该漏洞为高危漏洞。该漏洞位于/lib/import.php脚本中定义的import_package()函数中,具有"导入模板"权限的经过身份验证的攻击者可通过包导入功能执行任意文件写入,成功利用可能导致写入或覆盖Web服务器上的任意文件,从而导致执行任意PHP代码。

2、CVE-2024-31445

Cacti SQL注入漏洞,经研判,该漏洞为高危漏洞。该漏洞位于lib/api_automation.php中,经过身份验证的攻击者可利用该漏洞实现权限提升和远程代码执行。

3、CVE-2024-31459

Cacti文件包含漏洞,经研判,该漏洞为高危漏洞。该漏洞位于lib/plugin.php中,可能与SQL注入漏洞组合利用导致远程代码执行。

危害影响

影响版本

Cacti <= 1.2.26

修复建议

目前这些漏洞已经修复,受影响用户可升级到Cacti 版本1.2.27。

下载链接:

https://github.com/Cacti/cacti/tags

参考链接:

https://github.com/Cacti/cacti/security/advisories/GHSA-7cmj-g5qc-pj88

https://github.com/Cacti/cacti/security/advisories/GHSA-vjph-r677-6pcc

https://github.com/Cacti/cacti/security/advisories/GHSA-cx8g-hvq8-p2rv

【漏洞通告】Cacti多个高危漏洞安全风险通告【漏洞通告】Cacti多个高危漏洞安全风险通告

原文始发于微信公众号(嘉诚安全):【漏洞通告】Cacti多个高危漏洞安全风险通告

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年5月17日17:12:45
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】Cacti多个高危漏洞安全风险通告https://cn-sec.com/archives/2750954.html

发表评论

匿名网友 填写信息