Bulletin d'alerte Debian

DSA-2060-1 cacti -- Vérification d'entrée manquante

Date du rapport :

13 juin 2010

Paquets concernés :

cacti

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 582691.
Dans le dictionnaire CVE du Mitre : CVE-2010-2092.

Plus de précisions :

Stefan Esser a découvert que Cacti, une interface à RRDtool pour superviser les systèmes et services, ne vérifie pas correctement les entrées transmises au paramètre rra_id du script graph.php. À cause de la vérification de l'entrée pour $_REQUEST, mais de l'utilisation de l'entrée $_GET dans une requête, un attaquant non authentifié est capable de réaliser des injections SQL à l'aide d'une valeur rra_id contrefaite et un $_POST rra_id ou une valeur de $_COOKIE valables supplémentaires.

Pour la distribution stable (Lenny), ce problème a été corrigé dans la version 0.8.7b-2.1+lenny3.

Pour la distribution testing (Squeeze), ce problème sera corrigé prochainement.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 0.8.7e-4.

Nous vous recommandons de mettre à jour vos paquets cacti.

Corrigé dans :

Debian GNU/Linux 5.0 (lenny)

Source :: http://security.debian.org/pool/updates/main/c/cacti/cacti_0.8.7b-2.1+lenny3.dsc; http://security.debian.org/pool/updates/main/c/cacti/cacti_0.8.7b-2.1+lenny3.diff.gz; http://security.debian.org/pool/updates/main/c/cacti/cacti_0.8.7b.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/c/cacti/cacti_0.8.7b-2.1+lenny3_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.