CVE-2022-46169

O Cacti é uma plataforma de código aberto que fornece uma estrutura robusta e extensível de monitoramento operacional e gerenciamento de falhas para os usuários. Nas versões afetadas, uma vulnerabilidade de injeção de comandos permite que um usuário não autenticado execute código arbitrário em um servidor que executa o Cacti, se uma fonte de dados específica tiver sido selecionada para qualquer dispositivo monitorado. A vulnerabilidade reside no arquivo `remote_agent.php`. Este arquivo pode ser acessado sem autenticação. Essa função recupera o endereço IP do cliente por meio de `get_client_addr` e resolve esse endereço IP para o nome de host correspondente por meio de `gethostbyaddr`. Depois disso, verifica-se que existe uma entrada na tabela `poller` cujo nome de host corresponde ao nome de host resolvido. Se tal entrada for encontrada, a função retorna `true` e o cliente é autorizado. Essa autorização pode ser contornada devido à implementação da função `get_client_addr`. A função é definida no arquivo `lib/functions.php` e verifica diversas variáveis `$_SERVER` para determinar o endereço IP do cliente. As variáveis que começam com `HTTP_` podem ser definidas arbitrariamente por um atacante. Como existe uma entrada padrão na tabela `poller` com o nome de host do servidor que executa o Cacti, um atacante pode contornar a autenticação, por exemplo, fornecendo o cabeçalho `Forwarded-For: `. Dessa forma, a função `get_client_addr` retorna o endereço IP do servidor que executa o Cacti. A chamada seguinte a `gethostbyaddr` resolverá esse endereço IP para o nome de host do servidor, que passará na verificação do nome de host do `poller` por causa da entrada padrão. Após o contorno da autorização do arquivo `remote_agent.php`, um atacante pode disparar diferentes ações. Uma dessas ações é chamada `polldata`. A função chamada `poll_for_data` recupera alguns parâmetros de requisição e carrega as entradas `poller_item` correspondentes do banco de dados. Se a `action` de um `poller_item` for igual a `POLLER_ACTION_SCRIPT_PHP`, a função `proc_open` é usada para executar um script PHP. O parâmetro `$poller_id`, controlado pelo atacante, é recuperado por meio da função `get_nfilter_request_var`, que permite strings arbitrárias. Essa variável é posteriormente inserida na string passada para `proc_open`, o que leva a uma vulnerabilidade de injeção de comandos. Ao fornecer, por exemplo, `poller_id=;id`, o comando `id` é executado. Para alcançar a chamada vulnerável, o atacante deve fornecer um `host_id` e um `local_data_id`, onde a `action` do `poller_item` correspondente esteja definida como `POLLER_ACTION_SCRIPT_PHP`. Ambos os ids (`host_id` e `local_data_id`) podem ser facilmente descobertos por força bruta. O único requisito é que exista um `poller_item` com uma ação `POLLER_ACTION_SCRIPT_PHP`. Isso é muito provável em uma instância de produção porque essa ação é adicionada por alguns templates predefinidos como `Device - Uptime` ou `Device - Polling Time`. Essa vulnerabilidade de injeção de comandos permite que um usuário não autenticado execute comandos arbitrários se um `poller_item` com o tipo de `action` `POLLER_ACTION_SCRIPT_PHP` (`2`) estiver configurado. O contorno de autorização deveria ser evitado não permitindo que um atacante faça `get_client_addr` (arquivo `lib/functions.php`) retornar um endereço IP arbitrário. Isso poderia ser feito não honrando as variáveis `$_SERVER` `HTTP_...`. Se essas precisarem ser mantidas por razões de compatibilidade, deveria ao menos ser impedido falsificar o endereço IP do servidor que executa o Cacti. Essa vulnerabilidade foi corrigida tanto no ramo de lançamento 1.2.x quanto no 1.3.x, sendo a `1.2.23` a primeira versão a conter a correção.