Yakın zamanda Cacti’de, kimliği doğrulanmış bir kullanıcının Cacti’nin veritabanında depolanan verileri zehirlemesine izin veren bir Depolanmış Siteler Arası Komut Dosyası (Stored XSS) güvenlik açığı keşfedildi.
Üstelik yönetici hesapları bu zehirli verileri görüntüleyebilir ve görüntülendiğinde kurbanın tarayıcısında JS kodu çalıştırılır.
Cacti, RRDtool (round-robin veritabanı aracı) görevi gören web tabanlı açık kaynaklı bir ağ izleme, hata ve konfigürasyon yönetimi aracıdır. Kullanıcıların hizmetleri belirli aralıklarla yoklamasına ve sonuç grafiğini sağlamasına olanak tanır.
Cacti’de Siteler Arası Komut Dosyası Çalıştırma Güvenlik Açığı
Cacti’nin “report_admin.php” adı altında grafikler, cihazlar, veri kaynakları vb. hakkındaki raporlama bilgilerini görüntüleyen bir PHP dosyası vardır. Bu sayfa yalnızca ek ayrıcalıklara sahip yönetici hesapları tarafından görüntülenebilir.
Bu sayfaya, rapordaki grafikle ilgili kötü amaçlı bir cihaz adı sağlanabilir ve bu, XSS’nin saklanmasına neden olabilir.
Genel Yönetim>Siteler/Cihazlar/Veri izinlerine sahip kullanıcılar Cacti’de cihaz adı yapılandırabilir.
Yapılandırma http:// aracılığıyla gerçekleşir.
Bu nedenle, bir tehdit aktörü kötü amaçlı cihazın adını host.php dosyasında sağlayabilir ve kötü amaçlı yük, report_admin.php dosyasında yürütülür.
Bu kötü niyetli veri yükü yürütmesi, $title değişkeninin, çağrı kanalı kodundaki çıkışsız $description değişkeniyle birleştirilmesinden kaynaklandı ve bu durum, kurbanın tarayıcısının DOM’unu etkileyen kötü amaçlı bir JS koduyla sonuçlandı. Bu, depolanan XSS saldırısına yol açar.
Yönetici hesapları, kötü amaçlı JS kodunun yürütüldüğü GET isteğiyle report_admin.php sayfasını görüntüler.
Bu isteğe ilişkin HTTP yanıtı, bir HTML etiketi olarak kötü amaçlı yükten oluşur.
Darbe
Tehdit aktörleri bu güvenlik açığından yararlanmayı başarırlarsa harekete geçebilirler.
- Hesap Devralma (ATO)
- Mağdur kullanıcı olarak kötü niyetli eylemler gerçekleştirin
- Kullanıcıyı kötü amaçlı bir web sitesine yönlendirmek
- Hassas bilgileri Cacti web sayfası olarak gizleyerek alın
- Tarayıcı tabanlı istismar ve saldırılar
- Bir botnet oluşturun ve bir DDoS saldırısı gerçekleştirin.
Bu Depolanan XSS güvenlik açığı hakkında, yürütme yöntemleri ve etkileri hakkında ek bilgi sağlayan eksiksiz bir rapor GitHub’da yayımlandı.
Cacti kullanan kuruluşların, kötü amaçlı kod bloğunun son HTML çıktısında çalıştırılmaması için verileri oluşturulan HTML’de bir metin öğesi olarak yapmaları önerilir.
Bizi Google Haberler, Linkedin’den takip ederek en son Siber Güvenlik Haberlerinden haberdar olun, heyecanve Facebook.