Katalog CVE
CVE-2015-5284
KrytyczneStreszczenie
W FreeIPA przed wersją 4.2.2, skrypt ipa-kra-install umieszcza certyfikat agenta CA oraz klucz prywatny w pliku /etc/httpd/alias/kra-agent.pem, który jest dostępny do odczytu dla wszystkich użytkowników.
Ocena ryzyka
Dostępność klucza prywatnego dla wszystkich użytkowników może prowadzić do nieautoryzowanego dostępu do zasobów zabezpieczonych przez ten certyfikat, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się ograniczenie uprawnień do pliku kra-agent.pem, aby tylko uprawnieni użytkownicy mogli go odczytać, oraz rozważenie aktualizacji do nowszej wersji FreeIPA.
Oryginalny opis (angielski, źródło NVD)
ipa-kra-install in FreeIPA before 4.2.2 puts the CA agent certificate and private key in /etc/httpd/alias/kra-agent.pem, which is world readable.