リモートの Debian 12 ホストには、dsa-5862 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5862-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 2 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ: cacti CVE ID: CVE-2024-27082 CVE-2024-43362 CVE-2024-43363 CVE-2024-43364 CVE-2024-43365 CVE-2024-45598 CVE-2024-54145 CVE-2025-22604 CVE-2025-24367 CVE-2025-24368 Debian バグ: 1094574

    監視システムをグラフ表示するための Web インターフェイスである Cacti に、複数のセキュリティ脆弱性が発見されました。これは、クロスサイトスクリプティング、SQL インジェクション、またはコマンドインジェクションを引き起こす可能性があります。

    安定版 (stable) ディストリビューション (bookworm) では、これらの問題はバージョン 1.2.24+ds1-1+deb12u5 で修正されています。

    お使いの cacti パッケージをアップグレードすることを推奨します。

    cacti の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/cacti

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 15 ホストには、openSUSE-SU-2024:0276-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - cacti 1.2.27:
      * CVE-2024-34340: 古いパスワードハッシュを使用する場合の認証バイパス (boo#1224240)
      * CVE-2024-25641: パッケージインポート時の RCE 脆弱性 (boo#1224229)
      * CVE-2024-31459: プラグインがファイルをインクルードしたときの RCE 脆弱性 (boo#1224238)
      * CVE-2024-31460: 自動化 API を通じてツリールールを使用するときの SQL インジェクションの脆弱性 (boo#1224239)
      * CVE-2024-29894: JavaScript ベースのメッセージング API を使用する場合の XSS の脆弱性 (boo#1224231)
      * CVE-2024-31458: フォームテンプレート使用時の SQL インジェクションの脆弱性 (boo#1224241)
      * CVE-2024-31444: 自動化 API を通じてツリールールを読み込むときの XSS の脆弱性 (boo#1224236)
      * CVE-2024-31443: データクエリを管理するときの XSS の脆弱性 (boo#1224235)
      * CVE-2024-31445: 自動化 API を使用してグラフを取得するときの SQL インジェクションの脆弱性 (boo#1224237)
      * CVE-2024-27082: ツリーを管理するときの XSS の脆弱性 (boo#1224230)
      * PHP 8.3 サポートを改善します
      * コマンドラインからパッケージをインポートする際、データソースプロファイルを選択できませんでした
      * パスワードを変更する際に、前のページに戻れない場合があります
      * LDAP 認証を初めて使用する際に、ログに警告が表示される場合があります
      * デバイスの編集/表示時、IPv6 情報をホスト名のツールチップに追加します
      * Boost が有効な場合のポーリング速度を改善します
      * Half-Hour タイムゾーンのサポートを改善します
      * ユーザーセッションが見つからない場合、デバイスリストが不適切に返される可能性があります
      * インポート時に、レガシーテンプレートが警告を生成する可能性があります
      * Ping の代替ロケーションに対するサポートを改善します
      * インストーラー用の PHP 8.1 サポートを改善します
      * 数値フォーマットの問題を修正します
      * SpikeKill が初めて実行される際の PHP 8.1 サポートを改善します
      * SpikeKill に対する PHP 8.1 サポートを改善します
      * 中国語を使用してグラフィックスを検索する場合、文字化けした文字が表示されます。
      * テンプレートをインポートするとき、プレビューモードが常にロードされるとは限りません
      * リモートポーラーがインストールされている場合、MySQL TimeZone DB チェックが実行されません
      * Remote Poller のインストール完了時に終了ボタンが表示されません
      * 認証されていないエージェントをログに記録する必要があります
      * ホスト名が変更された場合、ポーラーキャッシュが常に更新されるとは限りません
      * CMD ポーラーを使用する場合、Failure および Recovery の日付の値が正しくない可能性があります
      * ツリーを保存すると、ツリーが非公開になる可能性があります
      * Web Basic 認証はユーザーのログインを記録しません
      * Accent ベースの言語を使用する場合、翻訳が適切に機能しない可能性があります
      * デバイスルールの自動化式を修正します
      * boost による新規インストール中の PHP 8.1 サポートを改善します 
      * グラフの横にデバイスの「有効/無効」インジケーターを追加します
      * リモートデータコレクターがハートビート状態になったときに、管理者に定期的に通知します
      * Aruba Clearpass のテンプレートを追加します
      * グラフテンプレートによるデバイステンプレートのフィルター/ソートを追加します

    - cacti-spine 1.2.27:
      * AES サポートの復元

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Cacti は運用モニタリングおよび障害管理のフレームワークです。 1.2.27 より前のバージョンの Cacti は、悪意のあるスクリプトがターゲットサーバーに恒久的に保存され、特定のページにアクセスするユーザーに提供されるクロスサイトスクリプティングの一種である保存型クロスサイトスクリプティングに対して脆弱です。バージョン 1.2.27 には、この問題に対するパッチが含まれています。(CVE-2024-27082)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 15 ホストには、openSUSE-SU-2024:0274-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - cacti 1.2.27:
      * CVE-2024-34340: 古いパスワードハッシュを使用する場合の認証バイパス (boo#1224240)
      * CVE-2024-25641: パッケージインポート時の RCE 脆弱性 (boo#1224229)
      * CVE-2024-31459: プラグインがファイルをインクルードしたときの RCE 脆弱性 (boo#1224238)
      * CVE-2024-31460: 自動化 API を通じてツリールールを使用するときの SQL インジェクションの脆弱性 (boo#1224239)
      * CVE-2024-29894: JavaScript ベースのメッセージング API を使用する場合の XSS の脆弱性 (boo#1224231)
      * CVE-2024-31458: フォームテンプレート使用時の SQL インジェクションの脆弱性 (boo#1224241)
      * CVE-2024-31444: 自動化 API を通じてツリールールを読み込むときの XSS の脆弱性 (boo#1224236)
      * CVE-2024-31443: データクエリを管理するときの XSS の脆弱性 (boo#1224235)
      * CVE-2024-31445: 自動化 API を使用してグラフを取得するときの SQL インジェクションの脆弱性 (boo#1224237)
      * CVE-2024-27082: ツリーを管理するときの XSS の脆弱性 (boo#1224230)
      * PHP 8.3 サポートを改善します
      * コマンドラインからパッケージをインポートする際、データソースプロファイルを選択できませんでした
      * パスワードを変更する際に、前のページに戻れない場合があります
      * LDAP 認証を初めて使用する際に、ログに警告が表示される場合があります
      * デバイスの編集/表示時、IPv6 情報をホスト名のツールチップに追加します
      * Boost が有効な場合のポーリング速度を改善します
      * Half-Hour タイムゾーンのサポートを改善します
      * ユーザーセッションが見つからない場合、デバイスリストが不適切に返される可能性があります
      * インポート時に、レガシーテンプレートが警告を生成する可能性があります
      * Ping の代替ロケーションに対するサポートを改善します
      * インストーラー用の PHP 8.1 サポートを改善します
      * 数値フォーマットの問題を修正します
      * SpikeKill が初めて実行される際の PHP 8.1 サポートを改善します
      * SpikeKill に対する PHP 8.1 サポートを改善します
      * 中国語を使用してグラフィックスを検索する場合、文字化けした文字が表示されます。
      * テンプレートをインポートするとき、プレビューモードが常にロードされるとは限りません
      * リモートポーラーがインストールされている場合、MySQL TimeZone DB チェックが実行されません
      * Remote Poller のインストール完了時に終了ボタンが表示されません
      * 認証されていないエージェントをログに記録する必要があります
      * ホスト名が変更された場合、ポーラーキャッシュが常に更新されるとは限りません
      * CMD ポーラーを使用する場合、Failure および Recovery の日付の値が正しくない可能性があります
      * ツリーを保存すると、ツリーが非公開になる可能性があります
      * Web Basic 認証はユーザーのログインを記録しません
      * Accent ベースの言語を使用する場合、翻訳が適切に機能しない可能性があります
      * デバイスルールの自動化式を修正します
      * boost による新規インストール中の PHP 8.1 サポートを改善します 
      * グラフの横にデバイスの「有効/無効」インジケーターを追加します
      * リモートデータコレクターがハートビート状態になったときに、管理者に定期的に通知します
      * Aruba Clearpass のテンプレートを追加します
      * グラフテンプレートによるデバイステンプレートのフィルター/ソートを追加します

    - cacti-spine 1.2.27:
      * AES サポートの復元

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
215468	Debian dsa-5862: cacti - セキュリティ更新	Nessus	Debian Local Security Checks	2025/2/10	2026/1/26	high
206444	openSUSE 15 のセキュリティ更新 : cacti、cacti-spine (openSUSE-SU-2024:0276-1)	Nessus	SuSE Local Security Checks	2024/9/3	2024/9/4	critical
256593	Linux Distros のパッチ未適用の脆弱性: CVE-2024-27082	Nessus	Misc.	2025/8/27	2026/4/29	medium
206445	openSUSE 15 のセキュリティ更新 : cacti、cacti-spine (openSUSE-SU-2024:0274-1)	Nessus	SuSE Local Security Checks	2024/9/3	2024/9/4	critical

検出

プラグインの検索

high

critical

medium

critical