CVE-2012-3503
CriticalSummary
Skrypt instalacyjny w Katello 1.0 i wcześniejszych wersjach nie generuje poprawnie wartości Application.config.secret_token, co powoduje, że każda domyślna instalacja ma ten sam token. Umożliwia to zdalnym atakującym uwierzytelnienie się w interfejsie webowym CloudForms System Engine jako dowolny użytkownik poprzez stworzenie ciasteczka z użyciem domyślnego tokena.
Risk Assessment
Organizacja jest narażona na nieautoryzowany dostęp do systemu, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych. Atakujący mogą uzyskać dostęp do kont użytkowników, co zagraża integralności systemu.
Recommendation
Zaleca się aktualizację do nowszej wersji Katello, w której problem został naprawiony. Dodatkowo, należy wygenerować unikalne wartości secret_token dla każdej instalacji.
Original NVD description (English source)
The installation script in Katello 1.0 and earlier does not properly generate the Application.config.secret_token value, which causes each default installation to have the same secret token, and allows remote attackers to authenticate to the CloudForms System Engine web interface as an arbitrary user by creating a cookie using the default secret_token.