annonce de vulnérabilité CVE-2010-2092

Cacti : injection SQL via rra_id

Synthèse de la vulnérabilité

Un attaquant peut employer la variable rra_id, afin d'injecter du code SQL dans la base de données Cacti.

Gravité : 3/4. Date création : 17/05/2010.

Description de la vulnérabilité

Le produit Cacti utilise une base de données MySQL et RRDtool (Round Robin Database), pour stocker les informations. Les graphes sont affichés sur un site Apache+PHP, via la page "graph.php". Le paramètre "rra_id" de "graph.php" indique le numéro de la Round Robin Archive à afficher. Ce paramètre n'est pas correctement vérifié lorsqu'il est indiqué deux fois : dans une variable POST/Cookie et dans l'url GET. Un attaquant peut donc employer une requête avec :  - un paramètre GET "action" contenant "zoom", et  - un paramètre GET "rra_id" contenant "1 AND 1=1" (ici, l'injection SQL), et  - un Cookie "rra_id" contenant "123" (ici l'identifiant valide). Un attaquant peut ainsi employer la variable rra_id, afin d'injecter du code SQL dans la base de données Cacti.

Bulletin Vigil@nce complet

Accès au bulletin Vigil@nce complet

Caractéristiques

Titre : Cacti : injection SQL via rra_id. Mots clés : 123 AND Apache Archive Cacti Cookie Database GET MySQL PHP POST RRDtool Robin Round SQL injection rra_id. Références : BID-40149, CVE-2010-2092, DSA 2060-1, FEDORA-2010-9036, FEDORA-2010-9047, FEDORA-2010-9062, MDVSA-2010:117, MOPS-2010-023, RHSA-2010:0635-01, VIGILANCE-VUL-9642.

Sources d'information

Publications et annonces Exemple de source : MOPS-2010-023: Cacti Graph Viewer SQL Injection Vulnerability

Solutions pour cette vulnérabilité

Patch correctif ou contre-mesure

Compléments

Attaque Outil d'attaque ou exploit 0day

Service de veille sur les vulnérabilités informatiques

Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information.
La base de vulnérabilités Vigil@nce contient plusieurs milliers de failles.
Ce bulletin a été rédigé par l'équipe Vigil@nce, qui surveille les vulnérabilités informatiques de systèmes et d'applications.
Base de vulnérabilités informatiques