News-Meldung vom 13.02.2008 11:27
Im quelloffenen Netzwerkstatistik-Programm Cacti haben italienische Sicherheitsforscher mehrere Sicherheitslücken entdeckt, die die Entwickler der Software in aktualiserten Programmversionen geschlossen haben. Angreifer können durch die Lücken SQL-Injections und Cross-Site-Scripting-Angriffe ausführen.
Zahlreiche Skripte prüfen übergebene Parameter nicht korrekt, sodass Angreifer Befehle an die zugrundeliegende MySQL-Datenbank absetzen und so Inhalte auslesen oder manipulieren können. Die Sicherheitsmeldung listet die Dateien graph_view.php (graph_list-Parameter), tree.php (leaf_id-Parameter), graph_xport.php (local_graph_id-Parameter), tree.php (id-Parameter) und index.php/login (login_username-Parameter) als anfällig für das Einschleusen von SQL-Befehlen auf.
Cross-Site-Scripting soll in den Dateien graph.php (view_type-Parameter), graph_view.php (filter-Parameter) und index.php/login (action- und login_username-Parameter) möglich sein. Durch den local_graph_id-Parameter in graph.php sollen Angreifer auch den Pfad zu Cacti auslesen können.
Die Fehler betreffen Cacti 0.8.7a und ältere Versionen. Die Entwickler haben inzwischen die Versionen 0.8.7b und 0.8.6k veröffentlicht, die die Schwachstellen nicht mehr enthalten. Nutzer von Cacti sollten die aktualisierte Version rasch herunterladen und einspielen.
Siehe dazu auch:
(dmk)
English Version: Multiple holes in Cacti spiked
Version zum Drucken | Per E-Mail versenden
Permalink: http://heise.de/-179325
Themen-Forum Serversicherheit
Dank der redaktionseigenen Glaskugel präsentiert heise Security schon jetzt und wie immer exklusiv den ultimativen Jahresrückblick auf das vor uns liegende Jahr 2012. 
Wer veraltete Programmversionen von Firefox, Thunderbird und SeaMonkey nutzt, kann sein System leicht mit Schadcode infizieren. 
