Debian DSA-1954-1：cacti - 不十分な入力サニタイズ

high Nessus プラグイン ID 44819

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

監視システムおよびサービス用の rrdtool に対するフロントエンドである cacti に、いくつかの脆弱性が見つかっています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2007-3112、CVE-2007-3113 cacti は、graph_height、graph_width、graph_start、および graph_end パラメーターを介したサービス拒否に対して脆弱であることが判明しました。この問題の影響を受けるのは、cacti の旧安定版（oldstable）バージョン（etch）のみです。

- CVE-2009-4032 cacti が、様々なベクトルを介したクロスサイトスクリプティング攻撃に対して脆弱であることが判明しました。

- CVE-2009-4112 cacti によって、認証された管理者ユーザーが「Linux - Get Memory Usage」設定に対する「データ入力メソッド」を介して任意のコマンドを実行することにより、ホストシステムへアクセスできることが判明しました。

現段階で、この問題に対する修正は存在しません。Upstream はホワイトリストポリシーを実装し、特定の「安全な」コマンドのみを許可します。
現時点では、そのようなアクセスは信頼できるユーザーにのみ与え、それ以外の場合は「データ入力」および「ユーザー管理」のオプションを無効化することが推奨されます。

ソリューション

cacti パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、この問題は、バージョン 0.8.6i-3.6 で修正されています。

安定版（stable）ディストリビューション（lenny）では、この問題はバージョン 0.8.7b-2.1+lenny1 で修正されています。