Plataforma
linux
Componente
virt-install
Corrigido em
2.2.1
A vulnerabilidade CVE-2019-10183 afeta o utilitário virt-install, usado para provisionar máquinas virtuais. A introdução da opção '--unattended' permitiu que senhas de VMs fossem passadas como argumentos de linha de comando, tornando-as visíveis para outros usuários do sistema através de listagens de processos. Essa falha afeta versões 2.2.0 e anteriores do virt-install, e foi corrigida na versão 2.2.1.
Um atacante pode explorar essa vulnerabilidade para obter acesso não autorizado a máquinas virtuais. Ao listar os processos em execução no sistema, um usuário malicioso pode visualizar a senha da máquina virtual configurada com a opção '--unattended'. Isso permite que o atacante faça login na VM como se fosse o usuário especificado, comprometendo a confidencialidade e a integridade dos dados armazenados na VM. O impacto é ampliado em ambientes multiusuário, onde a exposição da senha pode afetar várias VMs e usuários.
A vulnerabilidade foi divulgada em 03 de julho de 2019. Não há evidências de exploração ativa em campanhas direcionadas. A vulnerabilidade está listada no NVD (National Vulnerability Database). A probabilidade de exploração é considerada baixa devido à necessidade de acesso ao sistema e ao conhecimento da opção '--unattended'.
Status do Exploit
EPSS
0.14% (percentil 34%)
Vetor CVSS
A mitigação primária é atualizar o virt-install para a versão 2.2.1 ou superior, que corrige a vulnerabilidade. Em ambientes onde a atualização imediata não é possível, considere restringir o acesso à linha de comando virt-install apenas a usuários autorizados. Além disso, evite o uso da opção '--unattended' sempre que possível, optando por métodos de provisionamento que exigem interação do usuário para inserir a senha da VM. Monitore os logs do sistema em busca de atividades suspeitas relacionadas ao virt-install.
Evite usar a opção '--unattended' com senhas diretamente na linha de comandos. Se for necessário automatizar a criação de máquinas virtuais, utilize métodos mais seguros para fornecer as senhas, como variáveis de ambiente ou arquivos de configuração com permissões restritas. Atualize para uma versão posterior de virt-manager que corrija este problema, se estiver disponível.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2019-10183 is a LOW severity vulnerability in virt-install where VM passwords passed via the --unattended option are exposed to other users on the system via process listing.
You are affected if you are using virt-install version 2.2.0 or earlier and utilizing the --unattended option for VM creation.
Upgrade virt-install to version 2.2.1 or later to resolve the vulnerability. Alternatively, disable the --unattended option or restrict process listing permissions.
There is no current evidence of active exploitation campaigns targeting CVE-2019-10183, but the ease of exploitation warrants attention.
Refer to the Red Hat security advisory for details: https://access.redhat.com/security/cve/CVE-2019-10183
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.