CVE-2016-6322
WysokieStreszczenie
Red Hat QuickStart Cloud Installer (QCI) stosuje uprawnienia do odczytu dla wszystkich użytkowników dla pliku /etc/qci/answers, co umożliwia lokalnym użytkownikom uzyskanie hasła roota dla wdrożonego systemu poprzez odczytanie tego pliku.
Ocena ryzyka
Lokalni użytkownicy mogą uzyskać dostęp do hasła roota, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych w nim przechowywanych.
Rekomendacja
Zaleca się zmianę uprawnień do pliku /etc/qci/answers, aby ograniczyć dostęp tylko do uprawnionych użytkowników.
Inne podatności w Red Hat QuickStart Cloud Installer (QCI)
Zobacz wszystkie- CVE-2016-6340Wysokie
Plik kickstart w Red Hat QuickStart Cloud Installer (QCI) wymusza użycie haseł MD5 na wdrożonych systemach, co ułatwia atakującym określenie haseł w postaci czystego tekstu za pomocą ataku brute-force.
- CVE-2016-5411Krytyczne
W skrypcie konfiguracyjnym engine-DC-config.py w Red Hat QuickStart Cloud Installer (QCI) przed wersją 1.0 GA, plik jest dostępny do odczytu dla wszystkich i zawiera hasło roota wdrożonego systemu.
Oryginalny opis (angielski, źródło NVD)
Red Hat QuickStart Cloud Installer (QCI) uses world-readable permissions for /etc/qci/answers, which allows local users to obtain the root password for the deployed system by reading the file.