Uma vulnerabilidade crítica na estrutura de código aberto baseada na Web do Cacti para monitorar o desempenho da rede oferece aos invasores uma maneira de divulgar todo o conteúdo do banco de dados do Cacti – apresentando um risco espinhoso para as organizações.
Milhares de sites usam o Cacti para coletar informações de desempenho de rede, como aquelas relacionadas à utilização de largura de banda, uso de CPU e memória e E/S de disco — de dispositivos como roteadores, switches e servidores. As organizações usam os dados coletados para preencher o utilitário Round Robin Database (RRDTool) para que possam criar métricas gráficas e visuais a partir deles.
Como tal, abrange toda a área de TI de uma organização – oferecendo oportunidades de reconhecimento inestimáveis para ciberataques, bem como um ponto de articulação para se aprofundar na rede.
É importante ressaltar que um invasor também pode encadear o CVE-2023-51448 com outra vulnerabilidade do Cacti divulgada anteriormente – CVE-2023-49084 —para alcançar a execução remota de código (RCE) em sistemas vulneráveis.
CVE-2023-51448 em Cactos: Sanitização insuficiente
A vulnerabilidade, rastreada como CVE-2023-51448, está presente no Cacti versão 1.2.25. Cactos tem lançou uma versão atualizada do software que resolve o bug.
O problema tem a ver com o aplicativo não higienizar adequadamente os dados de entrada, deixando assim o caminho aberto para o que é conhecido como ataque cego de injeção SQL. O GitHub atribuiu à vulnerabilidade uma classificação de gravidade de 8.8 de um máximo possível de 10 na escala CVSS 3.1 e a descreveu como um problema que exige que um invasor tenha apenas poucos privilégios para explorar.
Matthew Hogg, pesquisador de segurança da Synopsys que
descobriu a vulnerabilidade e relatou isso aos mantenedores do Cacti no mês passado, diz que um invasor precisaria de uma conta autenticada com o privilégio “Liquidação/Utilitários” para explorar a falha.
“Encontrar sistemas que executam o Cacti é trivial, pois um agente mal-intencionado pode usar um serviço como o Shodan para consultar sistemas ativos”, diz Hogg. “Um ator malicioso, usando [Shodan], poderia automatizar seu reconhecimento inicial para encontrar sistemas que executam versões vulneráveis para concentrar suas atividades.”
Na manhã de segunda-feira, uma pesquisa no Shodan listou mais de 4,000 hosts Cacti que potencialmente executam versões vulneráveis do Cacti, diz ele.
De acordo com Hogg, para acionar o CVE-2023-51448, um invasor autenticado com privilégios de configurações/utilitários precisaria enviar uma solicitação HTTP GET especialmente criada com uma carga útil de injeção SQL para o endpoint ‘/managers.php’.
“Usando uma técnica SQL cega, um invasor pode divulgar o conteúdo do banco de dados Cacti ou acionar a execução remota de código (RCE)”, diz Hogg.
SQL cego significa que ataques em massa são improváveis, mas ainda é um problema espinhoso
Em um ataque cego de injeção de SQL, os invasores não veem o resultado direto de uma consulta SQL injetada. Em vez disso, eles precisam tentar inferir isso com base em como o aplicativo pode responder.
“Blind é frequentemente usado para descrever a injeção de SQL em que os resultados não são retornados diretamente ao invasor, mas são inferidos fora da banda usando um oráculo”, diz Hogg, referindo-se a fontes externas de informações, como mensagens de erro e atrasos de tempo. “Neste caso, um oráculo baseado em tempo pode ser usado para verificar se alguma condição booleana é atendida. O diferencial entre os tempos de resposta é usado para avaliar se a condição foi atendida, o que poderia, por exemplo, verificar o valor de um caractere que o invasor deseja vazar.”
Ataques cegos de injeção de SQL são difíceis de realizar em grande escala. No entanto, um invasor com acesso a uma conta com os privilégios necessários pode explorar a vulnerabilidade do Cacti com facilidade, observa Hogg. “As injeções cegas de SQL são fáceis de executar, mas difíceis de explorar devido à natureza do vetor de ataque.”
No entanto, referindo-se ao potencial de encadeamento da vulnerabilidade com o bug mencionado, o pesquisador de segurança afirma: “Um invasor competente que satisfaça os pré-requisitos para CVE-2023-49084 seria capaz de executar CVE-2023-51448 de maneira trivial”.
A vulnerabilidade mais recente é uma das várias que os pesquisadores relataram no Cacti no ano passado. Um dos mais graves entre eles é CVE-2022-46169, uma vulnerabilidade de injeção de comando não autenticada divulgada em janeiro passado, cuja exploração se tornou disponível publicamente alguns meses depois. Outro é CVE-2023-39362, uma vulnerabilidade divulgada em junho e cujas explorações se tornam disponíveis publicamente em outubro.
- Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
- PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
- PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
- PlatãoESG. Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
- PlatoHealth. Inteligência em Biotecnologia e Ensaios Clínicos. Acesse aqui.
- Fonte: https://www.darkreading.com/vulnerabilities-threats/cacti-monitoring-tool-critical-sql-injection-vulnerability
- :tem
- :é
- :não
- 000
- 1
- 10
- 25
- 7
- 8
- a
- Capaz
- Acesso
- Conta
- Alcançar
- atividades
- endereços
- tb
- entre
- an
- e
- Outro
- app
- Aplicação
- SOMOS
- AS
- atribuído
- ataque
- Ataques
- autenticado
- automatizar
- disponível
- Largura de Banda
- baseado
- BE
- tornam-se
- entre
- Bug
- mas a
- by
- CAN
- casas
- cadeia
- personagem
- verificar
- a verificação
- código
- coletar
- competente
- condição
- conteúdo
- poderia
- Crafted
- crio
- crítico
- dados,
- banco de dados
- mais profunda
- atrasos
- descreve
- descrito
- Dispositivos/Instrumentos
- difícil
- diretamente
- diretamente
- Divulgar
- do
- dois
- facilidade
- fácil
- Ponto final
- Todo
- erro
- avaliar
- exemplo
- executar
- execução
- Explorar
- façanhas
- externo
- poucos
- Encontre
- descoberta
- falha
- Foco
- Pegada
- Escolha
- Quadro
- da
- ter
- GitHub
- dá
- Go
- Designer
- Queijos duros
- Ter
- he
- anfitriões
- Como funciona o dobrador de carta de canal
- Contudo
- HTML
- http
- HTTPS
- if
- in
- INFORMAÇÕES
- do estado inicial,
- entrada
- em vez disso
- para dentro
- inestimável
- emitem
- IT
- janeiro
- jpg
- Junho
- conhecido
- Sobrenome
- mais tarde
- mais recente
- vazar
- partida
- como
- Listado
- viver
- Baixo
- malicioso
- maneira
- Massa
- máximo
- significa
- Memória
- mensagens
- conheceu
- Métrica
- poder
- Segunda-feira
- monitoração
- Mês
- mês
- mais
- Manhã
- Natureza
- você merece...
- rede
- nist
- Notas
- Outubro
- of
- WOW!
- oferecendo treinamento para distância
- frequentemente
- on
- ONE
- só
- aberto
- open source
- oportunidades
- or
- oráculo
- organização
- organizações
- Fora
- Acima de
- passado
- caminho
- atuação
- PHP
- articulação
- platão
- Inteligência de Dados Platão
- PlatãoData
- ponto
- possível
- potencial
- potencialmente
- pré-requisitos
- presente
- anteriormente
- privilégio
- privilégios
- devidamente
- publicamente
- classificação
- alcançar
- relacionado
- remoto
- Informou
- solicitar
- requeridos
- exige
- investigador
- pesquisadores
- Responder
- resposta
- resultar
- Resultados
- Risco
- Robin
- volta
- corrida
- s
- diz
- Escala
- Pesquisar
- segurança
- Vejo
- enviar
- grave
- Servidores
- serviço
- vários
- So
- Software
- alguns
- fonte
- Fontes
- especialmente
- Ainda
- tal
- sistemas
- técnica
- do que
- que
- A
- deles
- Eles
- assim
- deles
- isto
- vezes
- cronometragem
- para
- ferramenta
- desencadear
- tentar
- improvável
- Atualizada
- Uso
- usar
- usava
- utilização
- utilidade
- valor
- versão
- versões
- visual
- vulnerabilidade
- Vulnerável
- quer
- foi
- Caminho..
- Web-Based
- sites
- BEM
- O Quê
- O que é a
- qual
- QUEM
- de
- dentro
- seria
- ano
- zefirnet