PT-2020-13746 · Unknown+2 · Pam Tacplus+2

The-Magician · Publicado 2020-06-06 · Atualizado 2022-04-05 · CVE-2020-13881

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

pam tacplus, versões 1.3.8 a 1.5.1

Descrição

O problema diz respeito ao registro do segredo compartilhado TACACS+ via syslog quando o nível de log DEBUG e o journald são utilizados. Isso ocorre no arquivo support.c do pam tacplus.

Recomendações

Para as versões 1.3.8 a 1.5.1 do pam tacplus, considere desativar o nível de log DEBUG ou o journald para impedir que o segredo compartilhado do TACACS+ seja registrado via syslog até que um patch esteja disponível.

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2020-13881

DLA-2239-1

DLA-2730-1

USN-4521-1

Produtos afetados

Linuxmint

Ubuntu

Pam Tacplus

Referências · 18

• https://github.com/kravietz/pam_tacplus/issues/149 · Nota
• https://github.com/kravietz/pam_tacplus/commit/4a9852c31c2fd0c0e72fbb689a586aabcfb11cb0 · Correção
• https://ubuntu.com/security/notices/USN-4521-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-13881 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-13881 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2021/08/msg00006.html · Nota
• https://osv.dev/vulnerability/DLA-2239-1 · Aviso do Fabricante
• https://usn.ubuntu.com/4521-1 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2020/06/msg00007.html · Nota
• https://cve.org/CVERecord?id=CVE-2020-13881 · Nota de Segurança
• http://openwall.com/lists/oss-security/2020/06/08/1 · Correção
• https://arista.com/en/support/advisories-notices/security-advisories/11705-security-advisory-50 · Nota
• https://osv.dev/vulnerability/DLA-2730-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-13881 · Aviso do Fabricante
• https://t.me/cvenotify/18637 · Publicação no Telegram