Vulnerabilidad en ovirt-engine (CVE-2018-1072)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-532 Exposición de información a través de archivos de log

Fecha de publicación:

26/06/2018

Última modificación:

09/10/2019

Descripción

ovirt-engine en versiones anteriores a ovirt 4.2.2 es vulnerable a una exposición de información mediante archivos de log. Cuando engine-backup se ejecutaba con una de las opciones "--provision*db", el nombre de usuario y la contraseña de la base de la base de datos se registraban en texto claro. Compartir el log de aprovisionamiento podía fugar de manera inadvertida contraseñas de la base de datos.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.80

Gravedad 3.x

CRÍTICA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno