CVE-2014-0175

MCollective: domyślne hasło ustawiane podczas instalacji

CVSS 9.8v3.1pub. 2019-12-13upd. 2024-11-21

Puppet Marionette Collective (mcollective) ustawia domyślne hasło w trakcie instalacji, co stanowi podatność typu CWE-798 (użycie zakodowanych na stałe poświadczeń). Atakujący zdalny, bez uwierzytelnienia, może uzyskać pełny dostęp do systemu z powodu niezmienionego domyślnego hasła.

▸ Pokaż oryginał (EN)

mcollective has a default password set at install

🤖 Analiza AI

Jak działa

Podczas instalacji mcollective automatycznie konfigurowane jest domyślne hasło, które nie jest losowane ani wymuszane do zmiany przez użytkownika. Ponieważ hasło to jest powszechnie znane lub przewidywalne, osoba atakująca może użyć go do uwierzytelnienia się w systemie bez znajomości indywidualnych poświadczeń danej instalacji. Podatność jest dostępna zdalnie przez sieć bez żadnych dodatkowych wymagań wstępnych.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem korzystającym z mcollective — w tym poufność, integralność i dostępność danych oraz zasobów — bez konieczności posiadania jakichkolwiek uprawnień.

Mitygacja

Należy niezwłocznie zmienić domyślne hasło ustawiane podczas instalacji mcollective na unikalne, silne hasło. Należy zastosować patche dostępne u producenta zgodnie z referencjami (Red Hat, Debian).