CVE-2013-1430
KrytyczneStreszczenie
W xrdp przed wersją 0.9.1 odkryto problem, który polega na tym, że po pomyślnym zalogowaniu się do sesji xrdp za pomocą RDP, tworzony jest plik ~/.vnc/sesman_${username}_passwd. Zawiera on hasło użytkownika w postaci niezaszyfrowanej, zaszyfrowanej algorytmem DES przy użyciu znanego klucza.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie haseł użytkowników, co może prowadzić do nieautoryzowanego dostępu do systemów. To stwarza poważne zagrożenie dla bezpieczeństwa danych i infrastruktury IT.
Rekomendacja
Zaleca się aktualizację xrdp do wersji 0.9.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto rozważyć wdrożenie silniejszych metod szyfrowania haseł.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in xrdp before 0.9.1. When successfully logging in using RDP into an xrdp session, the file ~/.vnc/sesman_${username}_passwd is created. Its content is the equivalent of the user's cleartext password, DES encrypted with a known key.