Vulnerabilidad en la salida "ps auxwwe" en el archivo /var/log/qualys/qualys-cloud-agent-scan.log en Qualys Cloud Agent (CVE-2022-29550)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-532 Exposición de información a través de archivos de log

Fecha de publicación:

18/08/2022

Última modificación:

03/08/2024

Descripción

** EN DISPUTA ** Se ha detectado un problema en Qualys Cloud Agent versión 4.8.0-49. Escribe la salida "ps auxwwe" en el archivo /var/log/qualys/qualys-cloud-agent-scan.log. Esto puede, por ejemplo, escribir inesperadamente las credenciales (de las variables de entorno) en el disco en texto sin cifrar. NOTA: no se presentan circunstancias comunes en las que qualys-cloud-agent-scan.log pueda ser leído por un usuario que no sea root; sin embargo, el contenido del archivo podría estar expuesto mediante prácticas operativas específicas del sitio. El proveedor NO caracteriza esto como una vulnerabilidad porque la recolección de datos ps es intencional, y sólo capturaría credenciales en una máquina que ya estuviera afectada por la debilidad CWE-214.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno