PT-2024-10486 · Cacti+1 · Cacti+1

Tayfunyelim · Publicado 2024-08-26 · Atualizado 2025-04-17 · CVE-2024-45598

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do Cacti anteriores à 1.2.29

Descrição

O problema diz respeito a uma estrutura de código aberto para gerenciamento de desempenho e falhas. Um administrador pode modificar o parâmetro Poller Standard Error Log Path para apontar para um arquivo local no servidor, permitindo que seu conteúdo seja exibido na interface de usuário da web. Isso pode levar ao acesso não autorizado a informações confidenciais. A vulnerabilidade foi corrigida na versão 1.2.29.

Recomendações

Para versões anteriores à 1.2.29, atualize para a versão 1.2.29 para resolver o problema.

Como solução temporária, considere restringir o acesso ao parâmetro Poller Standard Error Log Path para impedir modificações não autorizadas.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

ALT-PU-2025-3834

ALT-PU-2025-5333

BDU:2025-01037

CVE-2024-45598

DLA-4048-1

DSA-5862-1

GHSA-PV2C-97PP-VXWG

Produtos afetados

Alt Linux

Cacti

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45598.json · Exploit
• https://github.com/Cacti/cacti/security/advisories/GHSA-pv2c-97pp-vxwg · Aviso do Fabricante
• https://github.com/Cacti/cacti/commit/eca52c6bb3e76c55d66b1040baa6dbf37471a0ae · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-45598 · Nota de Segurança
• https://twitter.com/TayfunYelim/status/1883612130815201786 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2024-45598 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-45598 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-45598 · Aviso do Fabricante
• https://t.me/cvedetector/16465 · Publicação no Telegram
• https://lists.debian.org/debian-lts-announce/2025/02/msg00010.html · Nota
• https://cve.org/CVERecord?id=CVE-2024-45598 · Nota de Segurança
• https://osv.dev/vulnerability/DSA-5862-1 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-01037 · Nota de Segurança
• https://twitter.com/CVEnew/status/1883912178975068213 · Publicação no Twitter
• https://osv.dev/vulnerability/DLA-4048-1 · Aviso do Fabricante