Во всех версиях свободной системы мониторинга Centreon, выпущенных с 2008 года (с 2.0 по 2.5.2 включительно), выявлены две критические уязвимости, которые могут быть эксплуатированы без прохождения аутентификации любым анонимным пользователем:

• CVE-2014-3828 - возможность подстановки SQL-запросов. Проблема эксплуатируется через передачу POST-запросов вида "mnftr_id=1 or 1=1 union all select version(),2 -- /**" или "index=2' or 1=1 -- /**" к публично доступным скриптам.
• CVE-2014-3829 - возможность удалённого выполнения команд на сервере. Для работы эксплоита требуется чтобы, хотябы один пользователь в данный момент был подключен к web-интерфейсу. Техника атаки сводится к передаче специально оформленного запроса к скрипту displayServiceStatus.php, который приводит к помещению в БД данных, которые будут переданы в качестве аргумента при построении графика без выполнения операций экранирования спецсимволов (можно указать ";ls").

Обновление с устранением уязвимостей пока не выпущены.