В популярной платформе для мониторинга сетей и производительности Cacti обнаружена опасная уязвимость, позволяющая аутентифицированным злоумышленникам выполнять произвольные команды на сервере. Проблема, получившая идентификатор CVE-2025-66399 и оценку как высокоопасная, затрагивает все версии Cacti вплоть до 1.2.28 включительно. Разработчики уже выпустили исправление в обновлении до версии 1.2.29.
Детали уявзимости
Суть уязвимости кроется в недостаточной проверке вводимых пользователем данных в процессе настройки устройств по протоколу SNMP. Конкретно, проблема возникает в сценарии "host.php?action=save", который отвечает за создание или редактирование устройств. Когда аутентифицированный пользователь заполняет поле "snmp_community", система некорректно обрабатывает его значение. Вместо строгой проверки и фильтрации опасных символов, таких как символы новой строки или специальные символы командной оболочки, приложение сохраняет введённую строку в базу данных без изменений.
Впоследствии, когда Cacti выполняет операции SNMP с этим устройством, неотфильтрованное значение поля извлекается из базы и передаётся на обработку. В средах, где инструменты или обёртки для SNMP интерпретируют символы новой строки как разделители между отдельными командами, злоумышленник получает возможность внедрить и выполнить произвольные инструкции. Эти инструкции выполняются с правами процесса Cacti, что открывает путь к полному контролю над системой.
Исследователь безопасности Хусейн Фати, которому принадлежит открытие, предоставил доказательство концепции, демонстрирующее эксплуатацию уязвимости для удалённого выполнения кода. Атакующий, имеющий учётную запись в Cacti, может отправить специально сформированный POST-запрос при создании нового устройства. Поместив в поле "snmp_community" вредоносную нагрузку, например, команду для установки обратного соединения, разделённую символами новой строки, злоумышленник заставляет систему выполнить этот код. Для запуска атаки достаточно просто сохранить запись устройства и затем открыть его страницу в интерфейсе управления.
Успешная эксплуатация этой уязвимости предоставляет злоумышленнику широкие возможности. В частности, он может манипулировать данными мониторинга, создавать или изменять файлы на сервере, выполнять системные команды. Поскольку Cacti часто развёртывается для наблюдения за критической инфраструктурой, скомпрометированный сервер может стать плацдармом для дальнейшего продвижения атакующего в корпоративной сети. Это представляет значительный риск для безопасности организации.
Официальное уведомление об уязвимости было опубликовано под идентификатором GHSA-c7rr-2h93-7gjf. Проблема классифицируется по каталогу слабостей CWE-20, что указывает на недостаточную проверку вводимых данных в критически важном с точки зрения безопасности функционале.
Разработчики Cacti настоятельно рекомендуют всем пользователям и администраторам, работающим на версиях 1.2.28 и старше, немедленно обновиться до версии 1.2.29. Это обновление устраняет проблему за счёт усиления валидации поля SNMP community. До тех пор, пока обновление не может быть применено, эксперты по безопасности советуют принять дополнительные меры. Следует ограничить доступ к интерфейсу Cacti только доверенным и необходимым учётным записям, тщательно отслеживать логи на предмет подозрительной активности, связанной с SNMP, и рассматривать серверы мониторинга как активы повышенной важности.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2025-66399
- https://github.com/Cacti/cacti/security/advisories/GHSA-c7rr-2h93-7gjf
