Vulnerability CVE-2020-13230 - CERT Civis.Net

Vulnerability Name:

CVE-2020-13230 (CCN-182286)

Assigned:

2020-03-11

Published:

2020-03-11

Updated:

2022-05-24

Summary:

In Cacti before 1.2.11, disabling a user account does not immediately invalidate any permissions granted to that account (e.g., permission to view logs).

CVSS v3 Severity:

4.3 Medium (CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
3.9 Low (Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:P/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): Low User Interaction (UI): None
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): Low Integrity (I): None Availibility (A): None

7.2 High (CCN CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H)
6.5 Medium (CCN Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): High User Interaction (UI): None
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): High Integrity (I): High Availibility (A): High

CVSS v2 Severity:

4.0 Medium (CVSS v2 Vector: AV:N/AC:L/Au:S/C:P/I:N/A:N)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Low Authentication (Au): Single_Instance
Impact Metrics:	Confidentiality (C): Partial Integrity (I): None Availibility (A): None

9.0 High (CCN CVSS v2 Vector: AV:N/AC:L/Au:S/C:C/I:C/A:C)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Low Athentication (Au): Single_Instance
Impact Metrics:	Confidentiality (C): Complete Integrity (I): Complete Availibility (A): Complete

Vulnerability Type:

Vulnerability Consequences:

Gain Privileges

References:

Source: MITRE
Type: CNA
CVE-2020-13230

Source: XF
Type: UNKNOWN
cacti-cve202013230-priv-esc(182286)

Source: CCN
Type: Cacti GIT Repository
Improper Access Control on disabling a user. #3343

Source: MISC
Type: Exploit, Issue Tracking, Third Party Advisory
https://github.com/Cacti/cacti/issues/3343

Source: MISC
Type: Release Notes, Third Party Advisory
https://github.com/Cacti/cacti/releases/tag/release%2F1.2.11

Source: MLIST
Type: Mailing List, Third Party Advisory
[debian-lts-announce] 20220329 [SECURITY] [DLA 2965-1] cacti security update

Source: FEDORA
Type: Mailing List, Third Party Advisory
FEDORA-2020-d50b988a2f

Source: FEDORA
Type: Mailing List, Patch, Third Party Advisory
FEDORA-2020-8560db8779

Source: CCN
Type: Cacti Web site
Cacti

Source: CCN
Type: WhiteSource Vulnerability Database
CVE-2020-13230

Vulnerable Configuration:

Configuration 1:

cpe:/a:cacti:cacti:*:*:*:*:*:*:*:* (Version < 1.2.11)

Configuration 2:

cpe:/o:debian:debian_linux:9.0:*:*:*:*:*:*:*

Configuration 3:

cpe:/o:fedoraproject:fedora:31:*:*:*:*:*:*:*

OR cpe:/o:fedoraproject:fedora:32:*:*:*:*:*:*:*

Configuration CCN 1:

cpe:/a:cacti:cacti:0.8.6:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.5a:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6d:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6c:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6e:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6g:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6i:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6j:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6h:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6f:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6b:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6a:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.5:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.4:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.3a:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.3:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.2a:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.2:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.1:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7a:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.6k:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7e:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7b:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7c:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7d:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.7:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.1:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.5:-:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.8a:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.8:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.6:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.5:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.4:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.3:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.6.2:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7f:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7g:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7h:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.8:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.8b:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.7i:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.8c:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.8d:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.8f:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.8g:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.12:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.13:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.15:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.16:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.17:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.18:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.25:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.27:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:0.8.8h:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.28:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.37:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.1.38:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.2.0:-:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.2.2:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.2.6:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.2.7:*:*:*:*:*:*:*

OR cpe:/a:cacti:cacti:1.2.8:*:*:*:*:*:*:*

Denotes that component is vulnerable