Bulletin d'alerte Debian

DSA-1031-1 cacti -- Plusieurs vulnérabilités

Date du rapport :
8 avril 2006
Paquets concernés :
cacti
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 349985, Bogue 358872.
Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 16187, Identifiant BugTraq 16364, Identifiant BugTraq 16720.
Dans le dictionnaire CVE du Mitre : CVE-2006-0146, CVE-2006-0147, CVE-2006-0410, CVE-2006-0806.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans libphp-adodb, la couche d'abstraction PHP pour les bases de données « adodb », qui est utilisée dans cacti, un frontal à rrdtool pour la surveillance de systèmes et de services. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants 

  • CVE-2006-0146

    Andreas Sandblad a découvert qu'une mauvaise vérification des entrées constituait une possibilité d'injection de code SQL à distance. Cela permettait à un attaquant distant de compromettre des applications, d'accéder et de modifier des données, ou encore d'exploiter des vulnérabilités de l'implémentation de la base de données sous-jacente. Le mot de passe du superutilisateur MySQL devait être vide pour que la faille puisse être exploitée. Les accès de ce script défaillant sont désormais limités.

  • CVE-2006-0147

    Une vulnérabilité dans l'évaluation dynamique de code permettait à des attaquants distants d'exécuter des fonctions PHP arbitraires en utilisant le paramètre « do ».

  • CVE-2006-0410

    Andy Staudacher a découvert une vulnérabilité d'injection de code SQL, causée par une mauvaise vérification des entrées. Cela permettait à des attaquants distants d'exécuter des commandes SQL arbitraires.

  • CVE-2006-0806

    GulfTech a découvert plusieurs vulnérabilités de script intersites causées par une mauvaise vérification des entrées. Des attaquants pouvaient exploiter ces vulnérabilités pour faire exécuter des scripts arbitraires par le navigateur web d'un utilisateur crédule, ou pour voler un certificat d'authentification stocké dans un « cookie ».

L'ancienne distribution stable (Woody) n'est pas touchée par ces problèmes.

Pour l'actuelle distribution stable (Sarge), ces problèmes ont été corrigés dans la version 0.8.6c-7sarge3.

Pour la distribution instable (Sid), ces problèmes seront bientôt corrigés.

Nous vous recommandons de mettre à jour votre paquet cacti.

Corrigé dans :

Debian GNU/Linux 3.1 (sarge)

Source :
http://security.debian.org/pool/updates/main/c/cacti/cacti_0.8.6c-7sarge3.dsc
http://security.debian.org/pool/updates/main/c/cacti/cacti_0.8.6c-7sarge3.diff.gz
http://security.debian.org/pool/updates/main/c/cacti/cacti_0.8.6c.orig.tar.gz
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/c/cacti/cacti_0.8.6c-7sarge3_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.