0xn7y/cve-2022-46169Exploit para CVE-2022-46169
Exploit para CVE-2022-46169 Cacti versões anteriores a 1.2.3
Aqui o remote_client_authorized verifica o hostname do cliente na tabela poller para entrada
function remote_client_authorized() {
// ...
$client_addr = get_client_addr();
// ...
$client_name = gethostbyaddr($client_addr);
// ...
$pollers = db_fetch_assoc('SELECT * FROM poller', true, $poller_db_cnn_id);
foreach($pollers as $poller) {
if (remote_agent_strip_domain($poller['hostname']) == $client_name) {
return true;
// ...
A função get_client_addr é usada para obter o endereço do cliente, que pode ser modificado pelo invasor ao determinar o endereço IP. Ela usa o IP para resolver para o hostname correspondente e verifica se a tabela poller contém uma entrada com este hostname autorizando o cliente.
<?php
// ...
function get_client_addr($client_addr = false) {
$http_addr_headers = array(
// ...
'HTTP_X_FORWARDED',
'HTTP_X_FORWARDED_FOR',
'HTTP_X_CLUSTER_CLIENT_IP',
'HTTP_FORWARDED_FOR',
'HTTP_FORWARDED',
'HTTP_CLIENT_IP',
'REMOTE_ADDR',
);
$client_addr = false;
foreach ($http_addr_headers as $header) {
// ...
$header_ips = explode(',', $_SERVER[$header]);
foreach ($header_ips as $header_ip) {
// ...
$client_addr = $header_ip;
break 2;
}
}
return $client_addr;
}
portanto, modificar o cabeçalho da requisição permite contornar a autenticação
E aqui, a entrada do usuário não sanitizada é usada para executar um comando externo
// ... retrieve poller items from database ...
foreach($items as $item) {
switch ($item['action']) {
// ...
case POLLER_ACTION_SCRIPT_PHP: /* script (php script server) */
// ...
$cactiphp = proc_open(read_config_option('path_php_binary') . ' -q ' . $config['base_path'] . '/script_server.php realtime ' . $poller_id, $cactides, $pipes);
configurar quais cabeçalhos HTTP devem ser usados ao determinar o IP usado de um cliente
já que o valor de poller_id precisa ser um inteiro, valide-o antes de passá-lo para proc_open