CVE-2016-0912
KrytyczneStreszczenie
EMC Data Domain OS w wersjach od 5.4 do 5.7 przed 5.7.2.0 pozwala zdalnym uwierzytelnionym użytkownikom na obejście ograniczeń zmiany hasła. Można to osiągnąć poprzez wykorzystanie dostępu do innego konta z tym samym poziomem uprawnień lub sesji konta na nieużywanym stanowisku.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane zmiany haseł, co prowadzi do potencjalnego przejęcia kont użytkowników i dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację systemu do wersji 5.7.2.0 lub nowszej oraz wdrożenie dodatkowych środków bezpieczeństwa, aby ograniczyć dostęp do sesji użytkowników.
Inne podatności w EMC Data Domain OS
Zobacz wszystkie- CVE-2016-0911Wysokie
EMC Data Domain OS w wersjach od 5.4 do 5.7 przed 5.7.2.0 ma domyślną opcję no_root_squash dla eksportów NFS, co ułatwia zdalnym atakującym uzyskanie dostępu do systemu plików poprzez wykorzystanie uprawnień roota klienta.
- CVE-2016-0910Wysokie
EMC Data Domain OS w wersjach 5.5 przed 5.5.4.0, 5.6 przed 5.6.1.004 oraz 5.7 przed 5.7.2.0 przechowuje identyfikatory sesji użytkowników GUI w pliku dostępnym dla wszystkich, co umożliwia lokalnym użytkownikom przejęcie dowolnych kont za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
EMC Data Domain OS 5.4 through 5.7 before 5.7.2.0 allows remote authenticated users to bypass intended password-change restrictions by leveraging access to (1) a different account with the same role as a target account or (2) an account's session at an unattended workstation.