p PatchFirst

CVE-2024-34340

CVE-2024-34340 · Authentication Bypass when using using older password hashes

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Cacti provides an operational monitoring and fault management framework. Prior to version 1.2.27, Cacti calls `compat_password_hash` when users set their password. `compat_password_hash` use `password_hash` if there is it, else use `md5`. When verifying password, it calls `compat_password_verify`. In `compat_password_verify`, `password_verify` is called if there is it, else use `md5`. `password_verify` and `password_hash` are supported on PHP < 5.5.0, following PHP manual. The vulnerability is in `compat_password_verify`. Md5-hashed user input is compared with correct password in database by `$md5 == $hash`. It is a loose comparison, not `===`. It is a type juggling vulnerability. Version 1.2.27 contains a patch for the issue.

CVSS 9.1 · Crítica · EPSS 1,1% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • cacti

    Versiones
    • < 1.2.27: Afectada

    Sin corrección publicada

  • cacti Debian:12

    Versiones
    • 1.2.24+ds1-1
    • 1.2.24+ds1-1+deb12u1
    • 1.2.24+ds1-1+deb12u2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.24+ds1-1+deb12u3

    Actualiza a 1.2.24+ds1-1+deb12u3

  • cacti Debian:13

    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.27+ds1-1

    Actualiza a 1.2.27+ds1-1

  • cacti Debian:14

    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.27+ds1-1

    Actualiza a 1.2.27+ds1-1

  • cacti Ubuntu:Pro:18.04:LTS

    Versiones
    • 1.1.18+ds1-1
    • 1.1.27+ds1-2
    • 1.1.27+ds1-3
    • 1.1.28+ds1-2
    • 1.1.35+ds1-1
    • 1.1.36+ds1-1
    • 1.1.38+ds1-1
    • 1.1.38+ds1-1ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.1.38+ds1-1ubuntu0.1~esm3

    Actualiza a 1.1.38+ds1-1ubuntu0.1~esm3

  • cacti Ubuntu:20.04:LTS

    Versiones
    • 1.2.4+ds1-2ubuntu3
    • 1.2.9+ds1-1ubuntu1
    • 1.2.9+ds1-1ubuntu2
    • 1.2.10+ds1-1ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.10+ds1-1ubuntu1.1

    Actualiza a 1.2.10+ds1-1ubuntu1.1

  • cacti Ubuntu:22.04:LTS

    Versiones
    • 1.2.16+ds1-2ubuntu1
    • 1.2.19+ds1-2ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.19+ds1-2ubuntu1.1

    Actualiza a 1.2.19+ds1-2ubuntu1.1

  • cacti Ubuntu:24.04:LTS

    Versiones
    • 1.2.25+ds1-2
    • 1.2.26+ds1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.26+ds1-1ubuntu0.1

    Actualiza a 1.2.26+ds1-1ubuntu0.1

Fuentes originales

Comprueba tu servidor →