CVE-2013-7450
WysokieStreszczenie
Pulp przed wersją 2.3.0 używa tego samego klucza i certyfikatu urzędów certyfikacji dla wszystkich instalacji.
Ocena ryzyka
Używanie wspólnego klucza i certyfikatu może prowadzić do problemów z bezpieczeństwem, takich jak możliwość podszywania się pod inne instalacje.
Rekomendacja
Zaleca się aktualizację do wersji Pulp 2.3.0 lub nowszej, aby uniknąć problemów związanych z bezpieczeństwem.
Inne podatności w Pulp
Zobacz wszystkie- CVE-2015-5153Wysokie
Pulp nie usuwa uprawnień dla nazwanych obiektów po ich usunięciu, co pozwala uwierzytelnionym użytkownikom uzyskać uprawnienia usuniętego obiektu poprzez stworzenie obiektu o tej samej nazwie.
- CVE-2016-3704Wysokie
Pulp w wersjach przed 2.8.5 używa zmiennej $RANDOM w bashu w niebezpieczny sposób do generowania haseł.
- CVE-2016-3112Wysokie
W Pulp przed wersją 2.8.3 klucz prywatny konsumenta jest zapisywany w pliku etc/pki/pulp/consumer/consumer-cert.pem z uprawnieniami do odczytu dla wszystkich użytkowników. To umożliwia zdalnym, uwierzytelnionym użytkownikom uzyskanie kluczy prywatnych konsumenta i eskalację uprawnień.
- CVE-2016-3108Wysokie
Skrypt pulp-gen-nodes-certificate w Pulp przed wersją 2.8.3 umożliwia lokalnym użytkownikom ujawnienie kluczy lub zapis do dowolnych plików za pomocą ataku symlink.
Oryginalny opis (angielski, źródło NVD)
Pulp before 2.3.0 uses the same the same certificate authority key and certificate for all installations.