Во всех версиях свободной системы мониторинга Centreon, выпущенных с 2008 года (с 2.0 по 2.5.2 включительно), выявлены критические уязвимости, которые могут быть эксплуатированы без прохождения аутентификации любым анонимным пользователем:

• CVE-2014-3828 — возможность подстановки SQL-запросов. Проблема эксплуатируется через передачу POST-запросов вида «mnftr_id=1 or 1=1 union all select version(),2 — /**» или «index=2′ or 1=1 — /**» к публично доступным скриптам.
• CVE-2014-3829 — возможность удалённого выполнения команд на сервере. Для работы эксплоита требуется чтобы после атаки, хотябы один аутентифицированный пользователь обратился к web-интерфейсу. Техника атаки сводится к передаче специально оформленного запроса к скрипту displayServiceStatus.php, который приводит к помещению в БД данных, которые будут переданы в качестве аргумента при построении графика без выполнения операций экранирования спецсимволов (можно указать «;ls»).

Обновление с устранением уязвимостей пока не выпущены.