CVE-2016-5411

Krytyczne

Opublikowano: 13/06/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

W skrypcie konfiguracyjnym engine-DC-config.py w Red Hat QuickStart Cloud Installer (QCI) przed wersją 1.0 GA, plik jest dostępny do odczytu dla wszystkich i zawiera hasło roota wdrożonego systemu.

Ocena ryzyka

Dostępność pliku z hasłem roota dla wszystkich użytkowników stwarza poważne ryzyko nieautoryzowanego dostępu do systemu, co może prowadzić do przejęcia kontroli nad infrastrukturą.

Rekomendacja

Zaleca się ograniczenie uprawnień do pliku engine-DC-config.py oraz usunięcie lub zabezpieczenie hasła roota w inny sposób.

Oryginalny opis (angielski, źródło NVD)

/var/lib/ovirt-engine/setup/engine-DC-config.py in Red Hat QuickStart Cloud Installer (QCI) before 1.0 GA is created world readable and contains the root password of the deployed system.