CVE-2017-6165
KrytyczneStreszczenie
W F5 BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, GTM, Link Controller, PEM i WebSafe w wersjach od 11.5.1 HF6 do 12.1.2 na platformach VIPRION, skrypt synchronizujący konfigurację HSM SafeNet między węzłami w klastrowym wdrożeniu zapisuje hasło do partycji HSM w postaci niezaszyfrowanej w pliku logów '/var/log/ltm'.
Ocena ryzyka
Zapisanie hasła w postaci niezaszyfrowanej stwarza ryzyko nieautoryzowanego dostępu do kluczowych elementów konfiguracji HSM, co może prowadzić do poważnych naruszeń bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania, aby usunąć tę podatność oraz wdrożenie dodatkowych środków ochrony logów, aby zapobiec ujawnieniu wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
In F5 BIG-IP LTM, AAM, AFM, Analytics, APM, ASM, DNS, GTM, Link Controller, PEM, and WebSafe 11.5.1 HF6 through 11.5.4 HF4, 11.6.0 through 11.6.1 HF1, and 12.0.0 through 12.1.2 on VIPRION platforms only, the script which synchronizes SafeNet External Network HSM configuration elements between blades in a clustered deployment will log the HSM partition password in cleartext to the "/var/log/ltm" log file.