В ядре аналитики была обнаружена ошибка, из-за которой уровень редактирования паролей не мог распознать учетные данные, не введенные в буквальную строку «пароль». Это позволяет включать пароли привязки SSSD LDAP (ldap_default_authtok) и учетные данные устройства ограждения Pacemaker в виде открытого текста в архивы, загружаемые на console.redhat.com.
Показать оригинальное описание (EN)
A flaw was found in insights-core where the password redaction layer fails to recognize credentials not keyed under the literal string 'password'. This allows SSSD LDAP bind passwords (ldap_default_authtok) and Pacemaker fence device credentials to be included in cleartext in archives uploaded to console.redhat.com.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
red hat:red hat enterprise linux 9
red hat:red hat satellite 6
red hat:red hat enterprise linux 10
red hat:pen drive powered by red hat lightspeed
red hat:red hat certification program for red hat enterprise linux 9