PT-2024-25797 · Cacti+3 · Cacti+3
Delsploit
·
Publicado
2023-07-13
·
Atualizado
2025-01-24
·
CVE-2024-34340
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Cacti anteriores à 1.2.27
Descrição
O Cacti fornece uma estrutura de monitoramento operacional e gerenciamento de falhas. O problema reside na função
compat password verify, onde a entrada do usuário com hash MD5 é comparada com a senha correta no banco de dados usando uma comparação fraca ($md5 == $hash), o que constitui uma vulnerabilidade de manipulação de tipos. Essa vulnerabilidade afeta versões anteriores à 1.2.27.Recomendações
Para versões anteriores à 1.2.27, atualize para a versão 1.2.27 ou posterior, que contém um patch para o problema. Como solução alternativa temporária, considere modificar a função
compat password verify para usar uma comparação estrita (===) em vez de uma comparação frouxa (==). Restrinja o acesso à função compat password verify para minimizar o risco de exploração.Exploit
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Cacti
Linuxmint
Ubuntu