CVE-2019-19752
CriticalSummary
nvOC w wersji do 3.2 zawiera klucze hosta SSH wbudowane w obraz instalacyjny, co umożliwia ataki typu man-in-the-middle oraz ułatwia identyfikację wszystkich publicznych węzłów IPv4 za pomocą Shodan.io.
Risk Assessment
Organizacja jest narażona na ataki man-in-the-middle, co może prowadzić do przechwytywania danych oraz naruszenia poufności komunikacji. Dodatkowo, łatwa identyfikacja węzłów może zwiększyć ryzyko ataków na te zasoby.
Recommendation
Zaleca się aktualizację do najnowszej wersji nvOC, w której problem został rozwiązany. Należy również rozważyć dodatkowe środki zabezpieczające, aby chronić komunikację SSH.
Original NVD description (English source)
nvOC through 3.2 ships with SSH host keys baked into the installation image, which allows man-in-the-middle attacks and makes identification of all public IPv4 nodes trivial with Shodan.io. NOTE: as of 2019-12-01, the vendor indicated plans to fix this in the next image build.