Amazon Linux AMI：cacti (ALAS-2014-347)

high Nessus 插件 ID 78290

语言：

简介

远程 Amazon Linux AMI 主机缺少安全更新。

描述

Cacti 0.8.7g、0.8.8b 以及更低版本中的跨站请求伪造 (CSRF) 漏洞允许远程攻击者劫持不明命令的用户认证，这一点已由 (1) 修改二进制文件，(2) 修改配置，或 (3) 添加任意用户的请求所证实。

Cacti 0.8.7g、0.8.8b 以及更低版本中的 cdef.php 中的跨站脚本 (XSS) 漏洞允许远程攻击者通过不明矢量注入任意 Web 脚本或 HTML。

Cacti 0.8.7g、0.8.8b 以及更低版本中的 lib/rrd.php 允许远程攻击者通过不明参数中的 shell 元字符执行任意命令。

Cacti 0.8.7g、0.8.8b 以及更低版本中的 graph_xport.php 中的多种 SQL 注入漏洞允许远程攻击者通过 (1) graph_start、(2) graph_end、(3) graph_height、(4) graph_width、(5) graph_nolegend、(6) print_source、(7) local_graph_id 或 (8) rra_id 参数执行任意 SQL 命令。

Cacti 0.8.7g、0.8.8b 以及更低版本中的 lib/graph_export.php 允许经过认证的远程用户通过不明矢量中的 shell 元字符执行任意命令。