spartanx-alejandro/cacti-cve-2023-39361Exploit para CVE-2023-39361 no Cacti, uma solução de gráficos de rede, demonstrando vulnerabilidade de injeção SQL para fins educacionais e de teste de segurança.
developAo usar o código-fonte ou ao baixar o código diretamente do repositório, é importante executar o script de atualização do banco de dados se você encontrar quaisquer erros referentes a tabelas ou colunas ausentes no banco de dados.
As alterações no banco de dados são commitadas no arquivo cacti.sql, que é usado
para novas instalações, e commitadas na atualização do banco de dados do instalador
para instalações existentes. Como o número da versão não muda até o lançamento no
branch develop, o que resultará na não execução da atualização do banco de dados,
é importante usar o script de atualização do banco de dados para forçar a versão
atual ou atualizar a versão no banco de dados.
Quando o Cacti foi desenvolvido pela primeira vez, há quase 20 anos, o MySQL não era tão maduro quanto é agora. Quando o The Cacti Group começou a projetar o Cacti 1.x, foi tomada uma decisão de forçar os usuários a usar o mecanismo de armazenamento InnoDB para muitas das tabelas. Isso foi feito porque o mecanismo de armazenamento InnoDB proporciona uma melhor experiência ao usuário quando o seu site tem vários logins simultâneos. Embora um pouco mais lento, também proporciona maior resiliência para os desenvolvedores.
Dito isso, há várias alterações que você DEVE fazer no MySQL/MariaDB antes de atualizar, e uma reinicialização do serviço é necessária. Dependendo da sua versão do MariaDB ou MySQL, as seguintes configurações serão necessárias ou já estarão habilitadas por padrão:
[mysqld]
# required for multiple language support
character-set-server = utf8mb4
collation-server = utf8mb4_unicode_ci
# Memory tunables - Cacti provides recommendations at upgrade time
max_heap_table_size = XXX
max_allowed_packet = 500M
tmp_table_size = XXX
join_buffer_size = XXX
sort_buffer_size = XXX
# important for compatibility
sql_mode=NO_ENGINE_SUBSTITUTION,NO_AUTO_CREATE_USER
# innodb settings - Cacti provides recommendations at upgrade time
innodb_buffer_pool_instances = XXX
innodb_flush_log_at_trx_commit = 2
innodb_buffer_pool_size = XXX
innodb_sort_buffer_size = XXX
innodb_doublewrite = ON
# required
innodb_file_per_table = ON
innodb_file_format = Barracuda
innodb_large_prefix = 1
# not all version support
innodb_flush_log_at_timeout = 3
# for SSD's/NVMe
innodb_read_io_threads = 32
innodb_write_io_threads = 16
innodb_io_capacity = 10000
innodb_io_capacity_max = 20000
innodb_flush_method = O_DIRECT
As configurações necessárias são muito importantes. Caso contrário, você encontrará problemas ao atualizar. Para as configurações com XXX, o Cacti fornecerá uma recomendação no momento da atualização. Não é incomum ter que reiniciar o MySQL/MariaDB durante a atualização para ajustar essas configurações. Por favor, tome nota especial disso antes de iniciar a sua atualização.
Antes de atualizar, você deve fazer essas alterações necessárias e, em seguida, reiniciar o MySQL/MariaDB. Depois disso, você pode economizar tempo e evitar possíveis erros executando os seguintes scripts (assumindo que você esteja usando bash):
for table in `mysql -e "SELECT TABLE_NAME FROM information_schema.TABLES WHERE table_schema='cacti' AND engine!='MEMORY'" cacti | grep -v TABLE_NAME`;
do
echo "Converting $table";
mysql -e "ALTER TABLE $table ENGINE=InnoDB ROW_FORMAT=Dynamic CHARSET=utf8mb4" cacti;
done
Isso converterá quaisquer tabelas que sejam InnoDB ou MyISAM para o formato de arquivo Barracuda, formato de linha dinâmico e utf8mb4. Observe que, se você estiver usando MySQL ou MariaDB sem innodb_file_per_table ativado, talvez seja melhor fazer backup do seu banco de dados, redefinir o InnoDB removendo os arquivos ib* no diretório /var/lib/mysql e, depois disso, restaurar o seu banco de dados e as tabelas e permissões do MySQL/MariaDB. Antes de tomar tal medida, você deve sempre praticar em um servidor de teste até se sentir confortável com a mudança.
Boa sorte e aproveite o Cacti!
sudo -u cacti php -q cli/upgrade_database.php --forcever=`cat include/cacti_version`
update version set cacti = '1.1.38';
Nota: Altere a versão acima para a versão correta ou arrisque o instalador atualizando a partir de uma versão anterior.
O Cacti é uma solução completa de gráficos de rede projetada para aproveitar o poder do armazenamento de dados e da funcionalidade de gráficos do RRDtool, fornecendo os seguintes recursos:
Coletores de dados remotos e locais
Descoberta de dispositivos
Automação da criação de dispositivos e gráficos
Modelos de gráficos e dispositivos
Métodos personalizados de coleta de dados
Controles de acesso para usuários, grupos e domínios
Tudo isso está envolvido em uma interface intuitiva e fácil de usar que faz sentido tanto para instalações de tamanho LAN quanto para redes complexas com milhares de dispositivos.
Desenvolvido no início dos anos 2000 por Ian Berry como um projeto de ensino médio, ele tem sido usado por milhares de empresas e entusiastas para monitorar e gerenciar suas Redes Empresariais e Data Centers.
O Cacti deve ser capaz de rodar em qualquer sistema operacional Linux, UNIX ou Windows com os seguintes requisitos:
PHP 5.4+
MySQL 5.1+
RRDtool 1.3+, 1.5+ recomendado
NET-SNMP 5.5+
Servidor Web com suporte a PHP
O PHP também deve ser compilado como um binário cgi ou cli autônomo. Isso é necessário para a coleta de dados via cron.
Marcamos o módulo php-snmp como opcional. Contanto que você não esteja usando dispositivos ipv6, ou usando IDs de mecanismo ou contextos snmpv3, usar o php-snmp deve ser seguro. Caso contrário, você deve considerar desinstalar o módulo php-snmp, pois ele criará problemas. Estamos cientes do problema com o php-snmp e estamos procurando nos envolver no projeto php para resolver esses problemas.
O RRDtool está disponível em várias versões e a maioria delas é suportada pelo Cacti. Lembre-se de confirmar as suas configurações do Cacti para a versão do RRDtool se você estiver tendo problemas para renderizar gráficos.
A documentação está disponível com os lançamentos do Cacti e também está disponível para visualização no Repositório de Documentação.
Confira o site principal do Cacti para downloads, logs de alterações, notas de lançamento e muito mais!
Dado o grande escopo do Cacti, os fóruns tendem a gerar uma quantidade considerável de tráfego. Fazer a sua parte respondendo perguntas básicas ajuda muito, pois não podemos estar em todos os lugares ao mesmo tempo. Contribua com a comunidade do Cacti participando dos Fóruns da Comunidade Cacti.