Il vettore CVSS pubblicato è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

L'avviso ufficiale lo valuta 9.8 Critico. (GitHub)

1. Causa principale

In realtà ci sono due bug concatenati.

Fase 1 — Bypass dell'autorizzazione

remote_agent.php di Cacti accetta richieste senza autenticazione normale, ma tenta di determinare se il richiedente è un poller autorizzato.

Il flusso di autorizzazione effettivamente fa:

Il problema è get_client_addr().

Nella versione 1.2.22 esamina numerose variabili server derivate da HTTP, inclusi gli header forwarded-client-IP. L'avviso spiega che i valori HTTP_* controllati dall'attaccante possono influenzare l'IP restituito da questa funzione. (GitHub)

Ciò significa che l'applicazione può essere indotta a credere:

Quindi l'attaccante non ha bisogno di un account Cacti legittimo.

2. La seconda vulnerabilità — iniezione di comandi

Dopo aver bypassato il controllo di autorizzazione, la funzionalità interessante dell'endpoint è l'azione polldata.

Il percorso di esecuzione rilevante è approssimativamente:

L'errore importante è la gestione di poller_id.

L'applicazione lo recupera utilizzando:

piuttosto che imporre che sia un intero.

Quel valore controllato dall'attaccante diventa infine parte di un comando passato a proc_open() di PHP. L'avviso ufficiale identifica esplicitamente questo come la primitiva di iniezione di comandi. (GitHub)

Concettualmente:

Questa è la parte critica della vulnerabilità.

3. Perché diventa RCE

La cosa interessante per la tua analisi del PoC è che nessuno dei due bug da solo racconta l'intera storia.

È una catena di vulnerabilità:

Questa è una distinzione molto importante da fare nel tuo write-up:

CVE-2022-46169 non è semplicemente "un parametro difettoso in remote_agent.php." È una vulnerabilità concatenata di bypass dell'autorizzazione + iniezione di comandi.

L'avviso ufficiale conferma che la condizione di esecuzione vulnerabile richiede un poller_item la cui azione è POLLER_ACTION_SCRIPT_PHP. (GitHub)

4. Prerequisito ambientale

Il tuo PoC dovrebbe documentare esplicitamente questo perché è un dettaglio analitico importante.

Il target necessita di un poller_item appropriato configurato con:

L'avviso di Cacti nota che questo è comune nelle installazioni di produzione perché modelli predefiniti come Device - Uptime e Device - Polling Time possono creare queste voci. (GitHub)

Quindi non scrivere:

"Ogni installazione di Cacti 1.2.22 è automaticamente sfruttabile."

Un'affermazione tecnicamente più accurata è:

Cacti 1.2.22 è vulnerabile e l'esecuzione di comandi riuscita dipende dalla presenza di una configurazione poller_item appropriata.

5. Perché host_id e local_data_id contano

poll_for_data() non esegue semplicemente il poller_id fornito.

Prima interroga poller_item utilizzando valori corrispondenti a:

Poi esamina l'azione dell'elemento risultante.

La condizione vulnerabile è effettivamente:

L'avviso originale nota che questi identificatori possono essere scoperti perché le voci rilevanti esistono nel database dell'applicazione e che voci adatte probabilmente esistono nelle installazioni produttive. (GitHub)

Per un PoC pubblico, dimostrerei questo prerequisito esplicitamente piuttosto che nasconderlo.

6. Metodologia PoC sicura

Per qualcosa che pubblichi, raccomando di far dimostrare al PoC l'esecuzione di comandi senza dare ai lettori un payload di reverse-shell armato.

Ad esempio, struttura la tua dimostrazione come:

Questo ti dà una dimostrazione di vulnerabilità legittima senza trasformare il write-up in un'arma RCE Internet pronta all'uso.

7. Analisi del codice sorgente per il tuo report

Puoi dividere il codice vulnerabile in tre aree.

A. remote_agent.php

Responsabile dell'esposizione della funzionalità remote-agent e dell'invio dell'azione richiesta.

B. lib/functions.php

Contiene get_client_addr().

Il design problematico è fidarsi dei valori derivati da HTTP quando si decide l'indirizzo di rete effettivo del richiedente.

L'avviso ufficiale elenca più variabili correlate a HTTP che vengono ispezionate prima di ripiegare sull'indirizzo remoto effettivo. (GitHub)

C. proc_open()

Il sink pericoloso finale è la costruzione del comando PHP eseguito tramite proc_open().

L'avviso identifica il flusso vulnerabile come:

(GitHub)

8. Perché la patch lo corregge

L'avviso di Cacti identifica due importanti modifiche di rimedio.

Primo, poller_id dovrebbe essere trattato come un intero:

Secondo, il valore dovrebbe inoltre essere sottoposto a shell-escape prima di essere incorporato nel comando:

L'avviso raccomanda specificamente entrambe le misure. (GitHub)

Anche il lato dell'autorizzazione deve smettere di consentire a un attaccante di influenzare arbitrariamente l'IP client utilizzato per l'autorizzazione. (GitHub)

9. Confronto versioni

L'avviso del fornitore elenca 1.2.22 come interessata e 1.2.23 come release 1.2.x corretta. (GitHub)

L'avviso di sicurezza di Amazon descrive indipendentemente il problema come la possibilità per un attaccante non autenticato di eseguire comandi arbitrari e gli assegna un punteggio CVSS di 9.8. (AWS Training and Certification)

10. Buon titolo per il tuo PoC pubblicato

Userei qualcosa come:

CVE-2022-46169 — Iniezione di comandi non autenticata / RCE in Cacti 1.2.22

O più tecnico:

CVE-2022-46169: Analisi della catena di bypass dell'autorizzazione e iniezione di comandi del Remote Agent di Cacti 1.2.22

E il tuo riepilogo della vulnerabilità può dire:

Cacti 1.2.22 contiene una catena di vulnerabilità critica nella funzionalità remote-agent. Un attaccante può manipolare la logica di determinazione dell'indirizzo client per bypassare il controllo di autorizzazione del remote-agent. Una volta raggiunta la funzionalità polldata, una validazione insufficiente del parametro poller_id consente a dati controllati dall'attaccante di raggiungere un comando eseguito tramite proc_open(). In configurazioni contenenti un elemento poller POLLER_ACTION_SCRIPT_PHP, ciò può risultare in esecuzione remota di comandi non autenticata. Il problema è stato corretto in Cacti 1.2.23. (GitHub)

Una correzione importante per la tua ricerca: non confondere questo con CVE-2023-39362. Quella successiva RCE di Cacti interessa 1.2.24 ed è stata corretta in 1.2.25, quindi non è la vulnerabilità che vuoi per un PoC su 1.2.22. (NVD)