Vulnerabilidad en Cacti (CVE-2025-22604)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

27/01/2025

Última modificación:

04/03/2025

Descripción

Cacti es un sistema de gestión de errores y rendimiento de código abierto framework. Debido a una falla en el analizador de resultados SNMP de varias líneas, los usuarios autenticados pueden inyectar OID mal formados en la respuesta. Cuando se procesan mediante ss_net_snmp_disk_io() o ss_net_snmp_disk_bytes(), una parte de cada OID se utilizará como clave en una matriz que se utiliza como parte de un comando sistema, lo que provoca una vulnerabilidad de ejecución de comandos. Esta vulnerabilidad se corrigió en la versión 1.2.29.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.10 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto