Cacti のコマンドインジェクションの脆弱性（CVE-2022-46169）

何が起きた

ネットワーク機器などを監視するツール Cacti の remote_agent.php というファイルに、送信元の IP アドレスの確かめ方の不備から、本来の確認をすり抜けられる弱点が見つかりました。確認をすり抜けた攻撃者は、細工した値を送ることで、Cacti が動くサーバー上で任意の（攻撃者が好きに選べる）命令を実行できます（コマンドインジェクション）。ただし、監視している機器に、特定の種類のデータ取得（Device - Uptime などのテンプレートで追加されるもの）が設定されている必要があります。この弱点は実際の攻撃で悪用されたことが確認されており、NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Cacti を使っている組織が対象です。CVE の記録では 1.2.23 より前が影響を受けるとされ、Cacti の勧告では影響を受ける版として v1.2.22 が挙げられています。

何をすればいい

Cacti の勧告に従い、1.2.23 以降（1.3 系では 1.3.0）に更新されているか確認してください。公式の案内を確認し、手順に従って更新してください。

やることチェックリスト

• Cacti を 1.2.23 以降に更新する
• 1.3 系を使う場合は 1.3.0 以降に更新する
• v1.2.22 など古い版のサーバーがないか調べる

用語メモ

コマンドインジェクション 用語集で見る

入力欄などに命令をまぎれこませ、サーバーに実行させる攻撃です。

IP アドレス 用語集で見る

インターネットやネットワーク上で、機器を見分けるための番号です。

テンプレート

よく使う設定をまとめたひな形です。Cacti では監視の設定を簡単に追加するために使われます。