Udnyttet sårbarhed
Cacti Authenticated Remote Code Execution via Host Variable Injection
Cacti ≤ 1.2.30 har en godkendt OS command injection-fejl. Brugere med enhedsantal og grafskablonoprettelsesrettigheder kan placere shell-metategn i en enheds noter-felt. Cacti's variable replacement engine indsætter det felt, ubehandlet, i RRDtool kommandolinje-argumenter gennem variablen |host_notes|. Når en graf, der er bygget fra et skabelon ved brug af den variabel, gengives, køres de injicerede kommandoer på serveren som webbrowser-brugeren, hvilket giver fuld remote code execution.
Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.
Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD