CVE-2022-46169：Cacti命令注入漏洞

点击蓝字关注我们

遵纪守法

任何个人和组织使用网络应当遵守宪法法律，遵守公共秩序，尊重社会公德，不得危害网络安全，不得利用网络从事危害国家安全、荣誉和利益

漏洞描述

Cacti是一套基于PHP,MySQL,SNMP及RRDTool开发的网络流量监测图形分析工具。CVE-2022-46169 攻击者可构造恶意请求，在无需登录的情况下访问remote_agent.php 执行任意命令，控制服务器。

风险等级

高

影响版本

1.2.22

漏洞分析

该漏洞存在于remote_agent.php文件中。无需身份验证即可访问此文件。为了验证客户端是否被允许remote_client_authorized调用该函数：

if (!remote_client_authorized()) {
print 'FATAL: You are not authorized to use this service';
exit;
}

此函数检索客户端的 IP 地址 viaget_client_addr并将此 IP 地址解析为相应的主机名 via gethostbyaddr。此后，验证poller表中是否存在条目，其中主机名对应于解析的主机名。如果找到这样的条目，函数返回true并且客户端被授权：

function remote_client_authorized() {
// ...
$client_addr = get_client_addr();
// ...

$client_name = gethostbyaddr($client_addr);
           // ...
$pollers = db_fetch_assoc('SELECT * FROM poller', true, $poller_db_cnn_id);

if (cacti_sizeof($pollers)) {
foreach($pollers as $poller) {
if (remote_agent_strip_domain($poller['hostname']) == $client_name) {
return true;
} elseif ($poller['hostname'] == $client_addr) {
return true;
}
}
}

cacti_log("Unauthorized remote agent access attempt from $client_name ($client_addr)");

return false;
}

由于功能的实现，可以绕过此授权get_client_addr。该函数在文件中定义lib/functions.php并检查服务$_SERVER变量以确定客户端的 IP 地址：

function get_client_addr($client_addr = false) {
$http_addr_headers = array(
'X-Forwarded-For',
'X-Client-IP',
'X-Real-IP',
'X-ProxyUser-Ip',
'CF-Connecting-IP',
'True-Client-IP',
'HTTP_X_FORWARDED',
'HTTP_X_FORWARDED_FOR',
'HTTP_X_CLUSTER_CLIENT_IP',
'HTTP_FORWARDED_FOR',
'HTTP_FORWARDED',
'HTTP_CLIENT_IP',
'REMOTE_ADDR',
);

$client_addr = false;
foreach ($http_addr_headers as $header) {
if (!empty($_SERVER[$header])) {
$header_ips = explode(',', $_SERVER[$header]);
foreach ($header_ips as $header_ip) {
if (!empty($header_ip)) {
if (!filter_var($header_ip, FILTER_VALIDATE_IP)) {
cacti_log('ERROR: Invalid remote client IP Address found in header (' . $header . ').', false, 'AUTH', POLLER_VERBOSITY_DEBUG);
} else {
$client_addr = $header_ip;
cacti_log('DEBUG: Using remote client IP Address found in header (' . $header . '): ' . $client_addr . ' (' . $_SERVER[$header] . ')', false, 'AUTH', POLLER_VERBOSITY_DEBUG);
break 2;
}
}
}
}
}

return $client_addr;
}

开头的变量HTTP_可以由攻击者任意设置。由于poller表中有一个默认条目，其中包含运行 Cacti 的服务器的主机名，攻击者可以绕过身份验证，例如通过提供标头Forwarded-For: <TARGETIP>。这样函数get_client_addr返回运行 Cacti 的服务器的 IP 地址。以下调用gethostbyaddr会将此 IP 地址解析为服务器的poller主机名，由于默认条目，该主机名将通过主机名检查。

绕过文件授权后remote_agent.php，攻击者可以触发不同的动作。其中一项行动称为polldata：

switch (get_request_var('action')) {
case 'polldata':
// ...
poll_for_data();
// ...
break;

被调用的函数poll_for_data检索一些请求参数并从数据库中加载相应的poller_item条目。如果actionapoller_item等于POLLER_ACTION_SCRIPT_PHP，则该函数proc_open用于执行 PHP 脚本：

function poll_for_data() {
global $config;

$local_data_ids = get_nfilter_request_var('local_data_ids');
$host_id        = get_filter_request_var('host_id');
$poller_id      = get_nfilter_request_var('poller_id');
$return         = array();

$i = 0;

if (cacti_sizeof($local_data_ids)) {
foreach($local_data_ids as $local_data_id) {
input_validate_input_number($local_data_id, 'local_data_id');

$items = db_fetch_assoc_prepared('SELECT *
FROM poller_item
WHERE host_id = ?
AND local_data_id = ?',
array($host_id, $local_data_id));
// ...
if (cacti_sizeof($items)) {
foreach($items as $item) {
switch ($item['action']) {
// ...
case POLLER_ACTION_SCRIPT_PHP: /* script (php script server) */
// ...
$cactiphp = proc_open(read_config_option('path_php_binary') . ' -q ' . $config['base_path'] . '/script_server.php realtime ' . $poller_id, $cactides, $pipes);
// ...

攻击者控制的参数通过允许任意字符串$poller_id的函数检索。get_nfilter_request_var此变量稍后插入到传递给的字符串中proc_open，这会导致命令注入漏洞。poller_id=;id例如，通过提供id命令来执行。

为了到达易受攻击的调用，攻击者必须提供一个host_id和local_data_id，其中action相应poller_item的设置为POLLER_ACTION_SCRIPT_PHP。这两个 ID（host_id和local_data_id）都可以很容易地被暴力破解。唯一的要求是存在poller_item带有POLLER_ACTION_SCRIPT_PHP动作的 a 。这很可能发生在生产实例上，因为此操作是由一些预定义的模板添加的，例如Device - Uptime或Device - Polling Time。

poller_item此命令注入漏洞允许未经身份验证的用户在配置了action类型POLLER_ACTION_SCRIPT_PHP( 2) 的情况下执行任意命令。

应应用以下建议来防止所描述的漏洞。

防护思路

应该通过不允许攻击者使get_client_addr(file lib/functions.php) 返回任意 IP 地址来防止授权绕过。这可以通过不遵守HTTP_... $_SERVER变量来完成。如果出于兼容性原因应保留这些，至少应防止伪造运行 Cacti 的服务器的 IP 地址。

应通过对文件应用以下更改来防止命令注入remote_agent.php：

该变量$poller_id应该是一个整数，因此应该通过函数get_filter_request_var而不是检索get_nfilter_request_var：

function poll_for_data() {
// ...
           $poller_id      = get_filter_request_var('poller_id');
           // ...

为了进一步加强对命令注入的防御，$poller_id应该escapeshellarg在传递给之前进行转义proc_open：

function poll_for_data() {
// ...
$cactiphp = proc_open(read_config_option('path_php_binary') . ' -q ' . $config['base_path'] . '/script_server.php realtime ' . escapeshellarg($poller_id), $cactides, $pipes);
// ...