Existe una vulnerabilidad crítica de inyección de comandos en la herramienta de monitorización de red de código abierto Cacti que permite a los atacantes autenticados ejecutar código arbitrario de forma remota, comprometiendo potencialmente toda la infraestructura de monitorización.

El fallo, rastreado como CVE-2025-66399, afecta a todas las versiones hasta la 1.2.28 y se debe a una validación de entrada inadecuada en la funcionalidad de configuración del dispositivo SNMP.

La vulnerabilidad reside en la interfaz de gestión de dispositivos (host.php), donde se procesan las cadenas de comunidad SNMP.

El fallo permite la ejecución remota de comandos arbitrarios

Cuando los usuarios autenticados configuran los dispositivos de monitorización, la aplicación no filtra los caracteres de control, incluidos los saltos de línea, del campo snmp_community.

La función get_nfilter_request_var() recupera la entrada del usuario sin eliminar los caracteres de nueva línea ni validar los metacaracteres de shell.

La posterior llamada form_input_validate() utiliza un patrón de expresión regular vacío que desactiva intencionalmente el filtrado.

Esta omisión de la sanitización permite a los actores maliciosos inyectar comandos separados por saltos de línea que se almacenan textualmente en la base de datos.

Cuando Cacti ejecuta posteriormente operaciones SNMP en segundo plano, las herramientas SNMP posteriores pueden interpretar estos tokens separados por saltos de línea como límites de comandos.

Provocando la ejecución involuntaria de comandos con los privilegios del proceso Cacti. La explotación exitosa permite a los atacantes ejecutar comandos a nivel de sistema con los mismos privilegios que el proceso de monitorización Cacti.

En escenarios de despliegue típicos, esto puede conducir a la modificación no autorizada de los datos de monitorización.

Ejecución de comandos de sistema arbitrarios, escrituras de archivos no autorizadas y el posible compromiso total del servidor Cacti.

El ataque solo requiere un acceso autenticado con privilegios bajos, lo que lo hace particularmente peligroso en entornos multiusuario donde diferentes equipos gestionan las configuraciones de monitorización.

Según el aviso de Cacti, con PoC, los atacantes pueden incrustar comandos bash dentro del campo de comunidad SNMP. Esto establece shells inversos a servidores externos, concediendo efectivamente el control total sobre el sistema de monitorización.

La vulnerabilidad es especialmente preocupante porque Cacti a menudo se integra con la infraestructura de red crítica y puede tener acceso elevado a los dispositivos gestionados.

Los administradores deben actualizar inmediatamente a la versión 1.2.29 de Cacti, que implementa una validación de entrada adecuada para las cadenas de comunidad SNMP.

Las organizaciones que no puedan aplicar el parche con prontitud deben restringir el acceso a la interfaz de configuración del dispositivo y auditar las cadenas de comunidad SNMP existentes en busca de contenido anómalo.