環境変数による認証情報の漏洩
high Nessus プラグイン ID 345665
Language:
概要
攻撃者にシークレットを公開する可能性のある環境変数を検出します説明
このプラグインは、ターゲットホスト上の環境変数によって悪意のある攻撃者に露出する可能性のある認証情報または機密情報を識別します。ターゲットに足がかりを確立した攻撃者は、ローカル環境変数に保存されているパスワード、アクセストークン、または API キーを使用して、エスカレーションを行ったり、横方向に移動したりすることができます。ユーザー名やサービスアカウントなどのアイデンティティでさえ、悪用を助長する貴重な手がかりになる可能性があります。
このプラグインは、製品ドキュメントやサンプルに表示される環境変数の名前に基づいて、この機密データが漏えいする可能性を特定します。これらの変数は、クラウドサービス、エンタープライズ API、リモートホストへのアクセスを容易にするためによく使用されます。
ソリューション
検出結果を検証します。この検出結果は、主に環境変数名に基づいているため、誤検出が生じる可能性があります。認証情報マネージャーを使用するか、安全な場所から手動で認証情報をプロビジョニングするようにアクセス手順を変更します。プラグインの詳細
深刻度: High
ID: 345665
ファイル名: environment_credential_exposure.nasl
バージョン: 1.1
タイプ: Local
エージェント: windows, macosx, unix
ファミリー: General
公開日: 2026/9/14
更新日: 2026/9/14
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
CVSS スコアの根本的理由: Tenable score based on exploit profile.
CVSS v2
リスクファクター: Medium
基本値: 6.5
ベクトル: CVSS2#AV:L/AC:L/Au:M/C:C/I:C/A:C
CVSS スコアのソース: manual
CVSS v3
リスクファクター: High
基本値: 8.8
ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVSS スコアのソース: manual
脆弱性情報
必要な KB アイテム: Host/env_vars/enumerated