Os responsáveis pelo framework de gerenciamento de falhas e monitoramento de rede de código aberto, Cacti, abordaram uma dúzia de falhas de segurança, incluindo duas questões críticas que poderiam levar à execução de código arbitrário.
As vulnerabilidades mais graves listadas são:
– CVE-2024-25641 (CVSS score: 9.1) – Uma vulnerabilidade arbitrária de escrita de arquivos na funcionalidade “Importar Pacote” que permite que usuários autenticados com permissão para “Importar Modelos” executem código PHP arbitrário no servidor web, resultando em execução remota de código
– CVE-2024-29895 (CVSS score: 10.0) – Uma vulnerabilidade de injeção de comandos que permite a qualquer usuário não autenticado executar comandos arbitrários no servidor quando a opção “register_argc_argv” do PHP está ativada
O Cacti também abordou outras duas falhas de alta gravidade que poderiam levar à execução de código via injeção de SQL e inclusão de arquivos:
– CVE-2024-31445 (CVSS score: 8.8) – Uma vulnerabilidade de injeção de SQL em api_automation.php que permite que usuários autenticados realizem escalonamento de privilégios e execução de código remoto
– CVE-2024-31459 (CVSS score: N/A) – Um problema de inclusão de arquivos no arquivo “lib/plugin.php” que pode ser combinado com vulnerabilidades de injeção de SQL para resultar em execução de código remoto
Vale ressaltar que 10 das 12 falhas, com exceção de CVE-2024-29895 e CVE-2024-30268 (CVSS score: 6.1), impactam todas as versões do Cacti, incluindo e anteriores à versão 1.2.26. Elas foram corrigidas na versão 1.2.27 lançada em 13 de maio de 2024. As outras duas falhas afetam as versões de desenvolvimento 1.3.x.
A divulgação acontece mais de oito meses após a divulgação de outra vulnerabilidade crítica de injeção de SQL (CVE-2023-39361, pontuação CVSS: 9.8) que poderia permitir que um invasor obtivesse permissões elevadas e executasse código malicioso.
No início de 2023, uma terceira falha crítica rastreada como CVE-2022-46169 (pontuação CVSS: 9.8) sofreu exploração ativa, permitindo que atores de ameaças invadissem servidores Cacti expostos na internet para distribuir malware de botnet como MooBot e ShellBot.
Com exploits de prova de conceito (PoC) publicamente disponíveis para essas falhas (nos respectivos avisos do GitHub), é recomendável que os usuários atualizem suas instâncias para a versão mais recente o mais rápido possível para mitigar possíveis ameaças.
