O vetor CVSS publicado é:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

O aviso oficial classifica como 9.8 Crítica. (GitHub)

1. Causa raiz

Na verdade, existem dois bugs encadeados.

Estágio 1 — Bypass de autorização

O remote_agent.php do Cacti aceita solicitações sem autenticação normal, mas tenta determinar se o solicitante é um poller autorizado.

O fluxo de autorização efetivamente faz:

O problema é get_client_addr().

Na versão 1.2.22, ela examina diversas variáveis de servidor derivadas de HTTP, incluindo cabeçalhos de IP de cliente encaminhado. O aviso explica que valores HTTP_* controlados pelo atacante podem influenciar o IP retornado por essa função. (GitHub)

Isso significa que o aplicativo pode ser enganado para acreditar:

Portanto, o atacante não precisa de uma conta legítima no Cacti.

2. A segunda vulnerabilidade — injeção de comandos

Após contornar a verificação de autorização, a funcionalidade interessante do endpoint é a ação polldata.

O caminho de execução relevante é aproximadamente:

O erro importante é o tratamento de poller_id.

O aplicativo o recupera usando:

em vez de garantir que seja um inteiro.

Esse valor controlado pelo atacante eventualmente se torna parte de um comando passado para proc_open() do PHP. O aviso oficial identifica explicitamente isso como a primitiva de injeção de comandos. (GitHub)

Conceitualmente:

Esta é a parte crítica da vulnerabilidade.

3. Por que se torna RCE

O interessante para sua análise de PoC é que nenhum dos bugs isoladamente conta a história completa.

É uma cadeia de vulnerabilidades:

Essa é uma distinção muito importante para fazer em seu relatório:

CVE-2022-46169 não é simplesmente "um parâmetro ruim em remote_agent.php". É uma vulnerabilidade encadeada de bypass de autorização + injeção de comandos.

O aviso oficial confirma que a condição de execução vulnerável requer um poller_item cuja ação seja POLLER_ACTION_SCRIPT_PHP. (GitHub)

4. Pré-requisito ambiental

Seu PoC deve documentar isso explicitamente porque é um detalhe analítico importante.

O alvo precisa de um poller_item adequado configurado com:

O aviso do Cacti observa que isso é comum em instalações de produção porque modelos predefinidos como Device - Uptime e Device - Polling Time podem criar essas entradas. (GitHub)

Portanto, não escreva:

"Toda instalação do Cacti 1.2.22 é automaticamente explorável."

Uma declaração tecnicamente mais precisa é:

O Cacti 1.2.22 é vulnerável, e a execução bem-sucedida de comandos depende da presença de uma configuração poller_item apropriada.

5. Por que host_id e local_data_id importam

poll_for_data() não executa simplesmente o poller_id fornecido.

Primeiro, ela consulta poller_item usando valores correspondentes a:

Em seguida, examina a ação do item resultante.

A condição vulnerável é efetivamente:

O aviso original observa que esses identificadores podem ser descobertos porque as entradas relevantes existem no banco de dados do aplicativo, e que entradas adequadas provavelmente existem em instalações produtivas. (GitHub)

Para um PoC público, eu demonstraria esse pré-requisito explicitamente em vez de ocultá-lo.

6. Metodologia segura de PoC

Para algo que você vai publicar, recomendo fazer o PoC demonstrar execução de comandos sem dar aos leitores um payload de reverse shell armamentado.

Por exemplo, estruture sua demonstração como:

Isso oferece uma demonstração legítima de vulnerabilidade sem transformar o relatório em uma arma de RCE pronta para a Internet.

7. Análise de código-fonte para seu relatório

Você pode dividir o código vulnerável em três áreas.

A. remote_agent.php

Responsável por expor a funcionalidade do agente remoto e despachar a ação solicitada.

B. lib/functions.php

Contém get_client_addr().

O design problemático é confiar em valores derivados de HTTP ao decidir o endereço de rede real do solicitante.

O aviso oficial lista múltiplas variáveis relacionadas a HTTP que são inspecionadas antes de recorrer ao endereço remoto real. (GitHub)

C. proc_open()

O sink perigoso final é a construção do comando PHP executado via proc_open().

O aviso identifica o fluxo vulnerável como:

(GitHub)

8. Por que o patch corrige

O aviso do Cacti identifica duas mudanças importantes de remediação.

Primeiro, poller_id deve ser tratado como um inteiro:

Segundo, o valor também deve ser escapado para shell antes de ser incorporado ao comando:

O aviso recomenda especificamente ambas as medidas. (GitHub)

O lado da autorização também precisa parar de permitir que um atacante influencie arbitrariamente o IP do cliente usado para autorização. (GitHub)

9. Comparação de versões

O aviso do fornecedor lista 1.2.22 como afetada e 1.2.23 como a versão 1.2.x corrigida. (GitHub)

O aviso de segurança da Amazon descreve independentemente o problema como permitindo que um atacante não autenticado execute comandos arbitrários e atribui uma pontuação CVSS de 9.8. (AWS Training and Certification)

10. Bom título para seu PoC publicado

Eu usaria algo como:

CVE-2022-46169 — Injeção de Comandos Não Autenticada / RCE no Cacti 1.2.22

Ou mais técnico:

CVE-2022-46169: Análise da Cadeia de Bypass de Autorização e Injeção de Comandos do Agente Remoto do Cacti 1.2.22

E seu resumo da vulnerabilidade pode dizer:

O Cacti 1.2.22 contém uma cadeia de vulnerabilidades crítica na funcionalidade do agente remoto. Um atacante pode manipular a lógica de determinação do endereço do cliente para contornar a verificação de autorização do agente remoto. Uma vez alcançada a funcionalidade polldata, a validação insuficiente do parâmetro poller_id permite que dados controlados pelo atacante alcancem um comando executado via proc_open(). Em configurações contendo um item de poller POLLER_ACTION_SCRIPT_PHP, isso pode resultar em execução remota de comandos não autenticada. O problema foi corrigido no Cacti 1.2.23. (GitHub)

Uma correção importante para sua pesquisa: não confunda isso com CVE-2023-39362. Esse RCE posterior do Cacti afeta 1.2.24 e foi corrigido na 1.2.25, portanto não é a vulnerabilidade que você quer para um PoC da 1.2.22. (NVD)