Amazon Linux AMI : cacti (ALAS-2014-347)

high Nessus Plugin ID 78290

語系：

概要

遠端 Amazon Linux AMI 主機缺少一個安全性更新。

說明

Cacti 0.8.7g、0.8.8b 和更舊版本中的一個跨網站要求偽造 (CSRF) 弱點允許遠端攻擊者針對不明的命令，劫持使用者的驗證，(1) 修改二進位檔、(2) 修改組態，或 (3) 新增任意使用者的要求即為一例。

Cacti 0.8.7g、0.8.8b 和更舊版本中的一個跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過不明向量，插入任意 Web 指令碼或 HTML。

Cacti 0.8.7g、0.8.8b 和更舊版本中的 lib/rrd.php 允許遠端攻擊者透過不明參數中的 shell 詮釋字元執行任意命令。

在 Cacti 0.8.7g、0.8.8b 和更舊版本中，graph_xport.php 內的多個 SQL 插入弱點允許遠端攻擊者透過 (1) graph_start、(2) graph_end、(3) graph_height、(4) graph_width、(5) graph_nolegend、(6) print_source、(7) local_graph_id，或 (8) rra_id 參數，執行任意 SQL 命令。

Cacti 0.8.7g、0.8.8b 和更舊版本中的 lib/graph_export.php 允許經驗證的遠端使用者透過不明向量中的 shell 詮釋字元執行任意命令。