Zaloguj się
Deutsch English Español Polski
Wysoka

Incorrect Default Permissions in Cobbler

  • Ujawniono: 20.02.2022
  • Aktualizacja: 11.10.2026 15:17

An issue was discovered in Cobbler before 3.3.1. Files in /etc/cobbler are world readable. Two of those files contain some sensitive information that can be exposed to a local user who has non-privileged access to the server. The users.digest file contains the sha2-512 digest of users in a Cobbler local installation. In the case of an easy-to-guess password, it's trivial to obtain the plaintext string. The settings.yaml file contains secrets such as the hashed default password.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) cobbler < 3.3.1 3.3.1

Odnośniki

Ocena CVSS 7.1/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Słabość (CWE)
CWE-276
Platforma
Python (PyPI)
Paczka
cobbler
Ujawniono
20.02.2022
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2022-38 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-5946-mpw5-pqxx - CC BY 4.0

Historia podatności: cobbler

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (18) w archiwum
Wszystkich wpisów
18
Pierwsza → ostatnia
10.2021 11.2024
Bez poprawki
2
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 4
  • Wysoka 9
  • Średnia 5

Ujawnienia w latach

Istotność:
  1. cobbler allows anyone to connect to cobbler XML-RPC server with known password and make changes
    Krytyczna · 9.8 CVE-2024-47533 >= 3.0.0, < 3.2.3, >= 3.3.0, < 3.3.7 3.2.3, 3.3.7
  2. Cobbler is vulnerable to code injection
    Wysoka CVE-2010-2235 < 2.0.7 2.0.7
  3. Cobbler subject to Command Injection
    Wysoka CVE-2012-2395 < 2.6.0 2.6.0
  4. Cobbler Web Interface Kickstart Template Remote Privilege Escalation Vulnerability
    Wysoka CVE-2008-6954 < 1.2.9 1.2.9
  5. Cobbler vulnerable to arbitrary code execution
    Krytyczna · 9.8 CVE-2017-1000469 < 3.0.0 3.0.0
  6. Cobbler has Exposed Dangerous Method or Function
    Krytyczna · 9.8 CVE-2018-10931 >= 2.6.0, < 3.0.0 3.0.0
  7. Cobbler Improper Validation of Security Tokens
    Krytyczna · 9.8 CVE-2018-1000226 < 3.0.0 3.0.0
  8. Cobbler Web Interface Lacks CSRF Protection
    Wysoka · 8.8 CVE-2011-4952 < 2.6.0 2.6.0
  9. Incorrect Default Permissions in Cobbler ten wpis
    Wysoka · 7.1 CVE-2021-45083 < 3.3.1 3.3.1
  10. Command Injection in Cobbler
    Wysoka · 7.8 CVE-2021-45082 < 3.3.1 3.3.1
  11. Cobbler before 3.3.0 allows authorization bypass for modification of settings.
    Wysoka · 7.5 CVE-2021-40325 < 3.3.0 3.3.0
  12. Cobbler before 3.3.0 allows arbitrary file write operations via upload_log_data.
    Wysoka · 7.5 CVE-2021-40324 < 3.3.0 3.3.0
  13. Cobbler before 3.3.0 allows log poisoning
    Wysoka · 9.8 CVE-2021-40323 < 3.3.0 3.3.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.