| 취약점ID |
210102 |
| 위험도 |
40 |
| 포트 |
80, ... |
| 프로토콜 |
TCP |
| 분류 |
CGI |
| 상세설명 |
해당 Cacti 프로그램은 'login_username' 인수를 통한 SQL 주입 취약점에 취약하다. Cacti는 PHP로 제작된 네트워크 그래픽 작업을 위한 RRDTool(Round Robin Database tool)로의 웹 기반의 전위 처리기이다. Cacti 0.8.7b 이전의 0.8.7 버전들과 0.8.6k 이전의 0.8.6 버전들은 데이터베이스 질의문 수행을 위해 'auth_login.php' 스크립트에서 'login_username' 인수를 사용하기 전에 'login_username' 인수로 전달된 사용자가 제공한 입력에 대한 부적절한 검증으로 인하여, 원격지의 공격자가 임의의 SQL 명령들을 실행시킬 수 있게 해 줄 수 있다. PHP의 'magic_quotes_gpc' 설정과 무관하게, 원격지 공격자는 이 취약점을 도용하여 악의적인 데이터를 데이터베이스 질의로 전달하여 결과적으로 데이터 노출, 질의 로직에 대한 수정, 심지어 자체 데이터베이스에 대한 데이터 수정이나 공격을 할 수 있다. 이 결함에 더하여 취약한 소프트웨어들은 다수의 다른 취약점들도 있는 것으로 보고되어 있다.
* 참고 사이트:
http://forums.cacti.net/about25749.html
http://www.cacti.net/release_notes_0_8_7b.php
http://archives.neohapsis.com/archives/bugtraq/2008-02/0162.html
http://www.securityfocus.com/archive/1/488013/30/0/threaded
http://secunia.com/advisories/28872
* 영향을 받는 플랫폼:
The Cacti Group, Cacti 0.8.7b 이전의 0.8.7 버전들
The Cacti Group, Cacti 0.8.6k 이전의 0.8.6 버전들
모든 운영체제 모든 버전 |
| 해결책 |
Cacti 다운로드 웹 페이지인 http://www.cacti.net/download_cacti.php 에서 구할 수 있는 Cacti의 가장 최신 버전(0.8.7b 혹은 0.8.6k 혹은 이후)으로 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2008-0785 (CVE) |
| 관련 URL |
27749 (SecurityFocus) |
| 관련 URL |
40452 (ISS) |
|
