Severity: Critical
CVSSv3 Score: 9.8
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Vừa qua, một số lỗ hổng của Cacti đã được công bố, trong đó có lỗ hổng nghiêm trọng CVE-2023-39361 tồn tại trong module graph_view.php. Lỗ hổng này cho phép kẻ tấn công thực hiện SQL Injection, từ đó có thể dẫn đến chiếm đoạt quyền quản trị hoặc thực thi mã từ xa. Lỗ hổng này rất dễ bị khai thác và PoC đã được công bố trên Internet.

Phiên bản bị ảnh hưởng:

OS	Version	Architecture	Package	Version	Filename
Debian	12	all	cacti	<= 1.2.24+ds1-1	cacti_1.2.24+ds1-1_all.deb
Debian	11	all	cacti	<= 1.2.16+ds1-2+deb11u1	cacti_1.2.16+ds1-2+deb11u1_all.deb
Debian	10	all	cacti	<= 1.2.2+ds1-2+deb10u4	cacti_1.2.2+ds1-2+deb10u4_all.deb
Debian	999	all	cacti	< 1.2.25+ds1-1	cacti_1.2.25+ds1-1_all.deb

Team monitor khuyến nghị các System admin rà soát hệ thống bị ảnh hưởng và nâng cấp lên các phiên bản mới hơn từ 1.2.25 và 1.3.0 để khắc phục các lỗ hổng bảo mật.

Chi tiết về lỗ hổng tham khảo thêm tại:

https://github.com/Cacti/cacti/security/advisories/GHSA-6r43-q2fw-5wrg
https://securityonline.info/cve-2023-39361-critical-sql-injection-vulnerability-found-in-cacti/?expand_article=1
https://vulners.com/debiancve/DEBIANCVE:CVE-2023-39361

CVE-2023-39361 Cacti SQL injection discovered in graph_view.php