CVE-2019-19755
CriticalSummary
ethOS w wersji do 1.3.3 zawiera klucze hosta SSH wbudowane w obraz instalacyjny, co umożliwia ataki typu man-in-the-middle oraz ułatwia identyfikację wszystkich publicznych węzłów IPv4 za pomocą Shodan.io.
Risk Assessment
Organizacja jest narażona na ataki man-in-the-middle, co może prowadzić do przechwytywania danych oraz naruszenia bezpieczeństwa systemów. Dodatkowo, łatwa identyfikacja węzłów może zwiększyć ryzyko ataków z zewnątrz.
Recommendation
Zaleca się aktualizację do najnowszej wersji ethOS, która usunie wbudowane klucze hosta SSH oraz wdrożenie dodatkowych środków zabezpieczających, aby zminimalizować ryzyko ataków.
Original NVD description (English source)
ethOS through 1.3.3 ships with SSH host keys baked into the installation image, which allows man-in-the-middle attacks and makes identification of all public IPv4 nodes trivial with Shodan.io. NOTE: as of 2019-12-01, the vendor indicated that they plan to fix this.