Cacti命令注入漏洞CVE-2022-46169

近日,我司监测到Cacti发布安全公告,修复了一个存在于Cacti中的安全漏洞,未经身份认证的攻击者可通过控制由get_nfilter_request_var()函数检索的参数$poller_id,来满足poller_item =POLLER_ACTION_SCRIPT_PHP条件,触发proc_open()函数,从而导致命令执行。

Cacti 为世界各地的用户提供强大且可扩展的操作监控和故障管理框架。

 

影响版本:

  • Cacti = 1.2.22

 

安全版本:

  • Cacti = 1.2.23
  • Cacti = 1.3.0

 

 

修复建议:

官方已经针对漏洞发布了补丁更新,参考地址如下:

https://github.com/Cacti/cacti/security/advisories/GHSA-6p93-p743-35gf

 

 

 

发表评论

评论已关闭。

相关文章