リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2023:2164-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 新しいユーザーアカウントにランダムなパスワードを設定するように cloud-init に指示すると、21.2 より前のバージョンはそのパスワードを誰でも読み取れるログファイル /var/log/cloud-init-output.log に書き込む可能性があります。これにより、ローカルユーザーが別のユーザーとしてログインする可能性があります。(CVE-2021-3429)

  - バージョン 23.1.2 より前の cloud-init のログで、機密データが漏洩する可能性があります。攻撃者がこの情報を使用して、ハッシュされたパスワードを見つけ、権限を昇格する可能性があります。(CVE-2023-1786)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES12セキュリティ更新プログラム : cloud-init (SUSE-SU-2023:2164-1)

medium Nessus プラグイン ID 175592

バージョン 1.0