iSCSI不安全配置文件权限本地信息泄露漏洞

漏洞信息详情

iSCSI不安全配置文件权限本地信息泄露漏洞

• CNNVD编号：CNNVD-200208-021
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2002-0849
  
• 漏洞类型：
  
  
  配置错误
  
• 发布时间：
  
  2002-08-12
  
• 威胁类型：
  
  
  本地
  
• 更新时间：
  
  2005-10-20
  
• 厂        商：
  
  cisco
• 漏洞来源：
  Kurt Seifried※ kur…

iSCSI（小型计算机系统接口）是一种支持通过TCP/IP网络访问存储设备的协议，它有助于实现跨组织进行存储合并和共享存储资源。iSCSI主要的验证机制使用CHAP协议。
iSCSI的Linux实现存在配置问题，本地攻击者可以利用这个漏洞获得验证密码等敏感信息。
iSCSI的Linux实现中的配置信息保存在/etc/iscsi.conf中，这个文件默认情况下以全局可读和可能全局可写的属性进行安装，任意本地用户可以通过查看这个配置文件获得CHAP验证密码等敏感信息。

临时解决方法：
如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 管理员可以通过手工正确的设置’iscsi.conf’文件读和写访问权限，一般是0600。
厂商补丁：
Cisco
—–
通过Cisco站点或者SourceForge下载的Linux-iscsi驱动的安装脚本不存在此漏洞。但是部分Linux版本以不安全的权限进行安装。

来源: BID
名称: 5423
链接:http://www.securityfocus.com/bid/5423

来源: XF
名称: linux-iscsi-conf-insecure(9792)
链接:http://www.iss.net/security_center/static/9792.php

来源: BUGTRAQ
名称: 20020808 Re: [VulnWatch] iDEFENSE Security Advisory: iSCSI Default Configuration File Settings
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=102891036424424&w=2

来源: BUGTRAQ
名称: 20020808 iDEFENSE Security Advisory: iSCSI Default Configuration File Settings
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=102882056105806&w=2