複数の脆弱性（クロスサイトスクリプティングおよび SQL インジェクション）が、監視システムのグラフ作成用 Web インターフェイスの Cacti に見つかりました。

cacti パッケージをアップグレードすることを推奨します。

CVE-2015-2665

0.8.8d より前の Cacti におけるクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、詳細不明なベクトルを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。

CVE-2015-4342

cdef ID からの SQL インジェクションおよび Location ヘッダーのインジェクション

CVE-2015-4454

0.8.8d より前の Cacti における　lib/functions.php の get_hash_graph_template 関数の SQL インジェクション脆弱性により、リモートの攻撃者が graph_template_id パラメーターを介して、graph_templates.php に対して任意の SQL コマンドを実行する可能性があります。

- 割り当てられていない CVE SQL インジェクション VN：JVN#78187936 / TN：JPCERT#98968540

設定ページの SQL インジェクション脆弱性

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Debian DLA-255-1：cacti セキュリティ更新

high Nessus プラグイン ID 84433

変更ログが見つかりません