CVE-2016-0910
WysokieStreszczenie
EMC Data Domain OS w wersjach 5.5 przed 5.5.4.0, 5.6 przed 5.6.1.004 oraz 5.7 przed 5.7.2.0 przechowuje identyfikatory sesji użytkowników GUI w pliku dostępnym dla wszystkich, co umożliwia lokalnym użytkownikom przejęcie dowolnych kont za pomocą nieokreślonych wektorów.
Ocena ryzyka
Ryzyko związane z tą podatnością polega na możliwości przejęcia kont użytkowników przez lokalnych atakujących, co może prowadzić do nieautoryzowanego dostępu do danych i zasobów systemowych.
Rekomendacja
Zaleca się aktualizację systemu do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do plików zawierających identyfikatory sesji.
Inne podatności w EMC Data Domain OS
Zobacz wszystkie- CVE-2016-0911Wysokie
EMC Data Domain OS w wersjach od 5.4 do 5.7 przed 5.7.2.0 ma domyślną opcję no_root_squash dla eksportów NFS, co ułatwia zdalnym atakującym uzyskanie dostępu do systemu plików poprzez wykorzystanie uprawnień roota klienta.
- CVE-2016-0912Krytyczne
EMC Data Domain OS w wersjach od 5.4 do 5.7 przed 5.7.2.0 pozwala zdalnym uwierzytelnionym użytkownikom na obejście ograniczeń zmiany hasła. Można to osiągnąć poprzez wykorzystanie dostępu do innego konta z tym samym poziomem uprawnień lub sesji konta na nieużywanym stanowisku.
Oryginalny opis (angielski, źródło NVD)
EMC Data Domain OS 5.5 before 5.5.4.0, 5.6 before 5.6.1.004, and 5.7 before 5.7.2.0 stores session identifiers of GUI users in a world-readable file, which allows local users to hijack arbitrary accounts via unspecified vectors.