范文健康探索娱乐情感热点
投稿投诉
热点动态
科技财经
情感日志
励志美文
娱乐时尚
游戏搞笑
探索旅游
历史星座
健康养生
美丽育儿
范文作文
教案论文
国学影视

警惕!9。8分漏洞来袭,Cacti命令执行漏洞风险通告

  近日,亚信安全CERT监控到Cacti存在命令执行漏洞(CVE-2022-46169),漏洞细节已公开。该漏洞存在于remote_agent.php文件中,无需身份验证即可访问此文件,攻击者可通过设置网络头HTTP_变量绕过身份验证,触发polldata功能,当get_nfilter_request_var()函数检索的参数$poller_id满足特定条件时,可触发proc_open()函数,从而导致命令执行。此命令注入漏洞允许未经身份验证的用户在构造恶意请求的情况下执行任意命令。
  对此,目前厂商已发布修复补丁,但暂未发布版本更新。鉴于该漏洞受影响面较大,亚信安全CERT建议使用Cacti的用户及时关注官方更新,参照官方修复方案尽快采取相关措施,做好资产自查以及预防工作,以免遭受黑客攻击。
  Cacti是一套基于PHP,MySQL,SNMP及RRDTool开发的开源网络流量监测图形分析工具,提供了非常强大的数据和用户管理功能。
  漏洞编号和等级
  CVE-2022-46169
  CVSS3.1 9.8分
  漏洞状态
  漏洞细节 已公开
  PoC 暂无
  EXP 暂无
  在野利用 未知
  受影响版本
  Cacti = 1.2.22
  修复建议
  临时缓解措施
  1. 禁止lib/functions.php文件中的get_client_addr函数返回任意IP地址来防止授权绕过,设置不遵循HTTP_... $_SERVER变量。若无法修改,应禁止伪造运行Cacti的服务器的IP地址。
  2. 对remote_agent.php文件进行修改以防止命令注入,变量$poller_id应该是一个整数,因此应该通过函数get_filter_request_var代替get_nfilter_request_var进行检索:function  poll_for_data ()   {  // ...   $poller_id = get_filter_request_var("poller_id" );  // ...  }
  3. 为了进一步加强对命令注入的防御,$poller_id参数应该在传递给proc_open之前使用escapeshellarg进行转义:function  poll_for_data ()   {  // ...   $cactiphp = proc_open(read_config_option("path_php_binary" ) . " -q "  . $config["base_path" ] . "/script_server.php realtime "  . escapeshellarg($poller_id), $cactides, $pipes);  // ...  }
  安全补丁修复
  目前Cacti官方已发布安全补丁,建议受影响用户尽快安装修复补丁。
  1.2.x版本补丁:
  1.3.x版本补丁:
  对于在PHP < 7.0下运行的1.2.x实例,还需要进一步更改:

欢度国庆相约普洱8条特色旅游线路,带你玩遍千景之谷来源云南日报景谷县位于普洱市中部偏西,素有无量宝地佛迹仙踪的美誉。澜沧江威远江小黑江奔流于青山峡谷和盆地之间,雨林峡谷温泉溶洞云海田园交织成一幅多彩的画卷。千百年来,马帮调子讲述着这6位男演员才叫没有绯闻,爱情专一,各个都是不忘初心的好男人每一个圈子都不容易,但是演艺圈的诱惑和考验人性的地方太多。在娱乐圈浮浮沉沉数载,还能保持本色不忘初心的男人,那是非常让人钦佩的。接下来,我们就聊聊几位不常抛头露面的明星夫妇,他们踏没遗产没子女,和百岁杨振宁走过18年婚姻翁帆当然很会筹谋人迹罕至的路杨振宁刚刚办完百岁宴不久就摔倒入院了,很多网友恶评说翁帆应该很开心自己快熬出头了。估计翁帆看到这些评论肯定觉得好笑。和杨振宁刚刚宣布结婚消息的那些天,翁帆反而睡得很好。马云说996是福报,刘强东说混日子非兄弟,宗庆后却说员工不该996说到996这个事情,很多上班族都是恨得牙狠狠。如今在很多大公司加班是司空见惯的。其实不仅仅是大公司,很多小公司也是如此。甚至很多老板会想办法,偷偷压榨员工的劳动力。比如说很多公司规状元太水,外援太独,土豪却是真土豪状元太水,外援太独,土豪却是真土豪不出意料,上海大比分输给了浙江。雄心勃勃的上海土豪受到了当头一棒,要知道,上海的意图岂止是小小浙江。收购国内外一系列大牌援军,意在问鼎总冠军,起码女排交出合格答卷第一次以主力身份参加世锦赛,李盈莹打出了体现成长和蜕变的成绩。新华社发昨天凌晨,2022年女排世锦赛落下帷幕。塞尔维亚队在决赛中3比0击败巴西队成功实现卫冕。中国队最终收获第6名,彼岸花下18等1队的四人赶到后,见舒涵被黎远抱在怀里,也惊一跳,急急的将细的橡树枝砍了,从包里掏出绑带,几分钟后几人就将舒涵放入担架里抬着向山下狂奔。月光承载了她不能承载的错躲在云后哭泣。树叶习惯沉默人至中年,经历的事情多了,性格脾气也会慢慢演变。最近体会至深的就是跟年轻时候相比,自已由热血满腔变得越来越沉默,这个现象有点不可思议。家人劝我这些想法有点负能量,不宜传播,但我换角北京,我最爱的依然是你我很喜欢北京。北京美的舒朗而大气,美的凛然又威严。泛着古意和墨香的北京,越来越兼具着繁华现代唯美古朴还有着浓郁的烟火气,美得惊艳却又带着淡淡的疏离。记得有一年,我去国家大剧院看话剧摩托罗拉MotoX40与骁龙8Gen2可能在2022年底推出早在2021年12月,摩托罗拉就在中国推出了MotoX30(全球称为MotoEdge30Pro)。现在,这家联想拥有的公司似乎正在研究X30的升级版MotoX40。该手机最近在中国秋阳如水,心间开朵心莲秋阳如水,心间开朵心莲(范通成)凉秋的午后,阳光柔和似水,鹅黄满地。柠檬一杯,卷起香气弥漫的窗帘,让远处的山扑进似醒未醒的心子。小睡初醒,任花香淡雅,不须要柔情蜜意的爱情,不须要低
马赛村落肯尼亚纪行八马赛村落作者粗獷2015年7月26日在肯尼亚的丛林里和草原上,居住着一些极度贫穷的人。这些以放牧为生的半原始人,被生活在现代文明世界的人们,称作马赛人。7月25日的傍晚,我和一个名加速智能制造运营知行合一,Kyber发布四大平台及应用解决方案时尚3C上海讯3月3日下午15时许,上海铠铂云信息科技有限公司(以下简称铠铂)以技术,创未来产品发布会在上海长宁区IBP国际会议中心隆重召开。区新泾镇领导区商务委科委投促办领导行业前实习生称遭同事性侵犯后在实习转留用中受到不公正对待,蔚来回应3月4日,蔚来发布情况说明称,3月3日晚,一位前蔚来实习生员工在社交媒体发文,称自己曾遭到同事性侵犯。虽然侵害者已经得到法律的惩罚,但因为此事件自己在实习转留用的过程中受到了不公正甘肃高台风电装备制造全产业链基地发展步入快车道近日,在高台县一风电装备生产基地内,工人们正在加快订单生产,进行设备调试,保障风力发电机组的生产运行。据了解,高台县境内有戈壁荒漠2000多平方公里,地势平坦辽阔,发展新能源优势明国家队持仓曝光,10股获新进或增持,社保基金连续两年坚守6股数据是个宝数据宝炒股少烦恼2023年以来,国家队持仓股市场表现亮眼。国家队持仓股曝光一般来说,国家队主要是指社保基金中国证券金融股份有限公司(简称中证金融)中央汇金资产管理有限责任高考作文素材青春奋斗版主题金句摘抄三陶行知说行是知之始,知是行之成。遇到问题不是空空而谈,而是找到科学方法去思考去实践。人生是一个不断学习实践提升的过程。1。山月不知心里事水风空落眼前花。释义山间的明月不知道我的心事一个普普女孩的醒悟,从现在开始要学着爱自己了第一次尝试着在网络上写文字,记录自己的蜕变和成长,之前没有写过文字,文笔不好,如果你也是和我一样的女孩,希望你可以有耐心看完,你可以从中获得力量,我也能收获来着你的力量。我是一个很全红婵再次大变脸!几个月不见,网友感叹长成大女孩了说起全红婵这个名字,相信每个国人都不陌生。在2021年的东京奥运会上,初出茅庐的中国小将全红婵一跳惊人,顺利摘得女子单人十米跳台桂冠。这个年仅14岁,剪着短发,面容青涩的广东姑娘再3月7日3月9日,巴中这些景区免票!半价!妇女节福利旅游掌上巴中讯记者从市文化广电旅游局获悉,光雾山旅游区将开展3。8魅力女神节主题活动,所有前往景区的女性朋友可享受光雾山旅游景区米仓山旅游景区免门票优惠,同行男性朋友享半创业类高层次人才到济南起步区就业最高可奖300万!本科以上应届毕业生最高可申请每月1000元交通补贴3月6日,济南市委市政府召开新闻发布会,介绍济南新旧动能转换起步区人才支持政策。新黄河记者从现场获悉,此次起步区出台的人才支持政策,把产业领军人才青年人才海外人才技能人才作为支持重三月龙华好春光阳春三月,欣欣向荣水初生,林初盛,花正开正是满园春色关不住的时节一起邂逅龙华的最美春景春风春风像一个信使飞过大地,留下丝丝绿意河岸小草抽发嫩绿的新芽它们迎着春风舒展懒腰一派生机盎然