CVE-2019-19752
KrytyczneStreszczenie
nvOC w wersji do 3.2 zawiera klucze hosta SSH wbudowane w obraz instalacyjny, co umożliwia ataki typu man-in-the-middle oraz ułatwia identyfikację wszystkich publicznych węzłów IPv4 za pomocą Shodan.io.
Ocena ryzyka
Organizacja jest narażona na ataki man-in-the-middle, co może prowadzić do przechwytywania danych oraz naruszenia poufności komunikacji. Dodatkowo, łatwa identyfikacja węzłów może zwiększyć ryzyko ataków na te zasoby.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji nvOC, w której problem został rozwiązany. Należy również rozważyć dodatkowe środki zabezpieczające, aby chronić komunikację SSH.
Oryginalny opis (angielski, źródło NVD)
nvOC through 3.2 ships with SSH host keys baked into the installation image, which allows man-in-the-middle attacks and makes identification of all public IPv4 nodes trivial with Shodan.io. NOTE: as of 2019-12-01, the vendor indicated plans to fix this in the next image build.