Veel servers waarop monitoringsoplossing Cacti draait zijn kwetsbaar voor aanvallen omdat ze een belangrijke beveiligingsupdate voor een kritieke kwetsbaarheid missen, zo stelt securitybedrijf Censys. Cacti is een opensource-monitoringsoplossing waarmee organisaties allerlei informatie over de status van hun netwerk en servers kunnen monitoren. Het gaat dan om zaken als netwerkverkeer, beschikbaarheid en uptime.

Vorige maand verscheen er een beveiligingsupdate voor Cacti vanwege een command injection kwetsbaarheid (CVE-2022-46169). Via de kwetsbaarheid kan een ongeauthenticeerde aanvaller willekeurige code op Cacti-servers uitvoeren als gemonitorde servers en andere systemen een specifieke databron gebruiken. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.

Op 2 januari verscheen er vervolgens een uitgebreide beschrijving van de kwetsbaarheid. Vijf dagen later meldde de Shadowserver Foundation, een stichting die informatie over botnets, malware en andere criminele netwerken verzamelt en deelt met providers en overheidsdiensten, dat aanvallers actief misbruik van de kwetsbaarheid maken voor het infecteren van servers met malware. De aanvallen zouden al sinds 3 januari plaatsvinden.

De Shadowserver Foundation adviseerde organisaties naast het patchen van Cacti-servers ook om die niet vanaf het internet toegankelijk te maken. Censys heeft nu onderzocht hoeveel Cacti-servers online te vinden zijn. Dat blijken er ruim 6400 te zijn. Het is niet van alle servers mogelijk om te bepalen welke versie ze draaien. Van de 1600 servers waarbij dat wel het geval is bleken er slechts 26 up-to-date te zijn. Het grootste deel van de gevonden Cacti-servers bevindt zich in Brazilië, gevolgd door Indonesië en de Verenigde Staten. Nederland komt niet in de top 10 voor.