PT-2024-10726 · Nvoc · Nvoc

Publicado 2024-04-30 · Atualizado 2025-03-25 · CVE-2019-19752

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

nvOC versões 3.2 e anteriores

Descrição

A vulnerabilidade permite ataques do tipo “man-in-the-middle” devido às chaves de host SSH estarem incorporadas na imagem de instalação. Isso também facilita a identificação de todos os nós IPv4 públicos usando o Shodan.io. O fornecedor indicou planos para corrigir este problema na próxima compilação da imagem a partir de 01/12/2019.

Recomendações

Para as versões 3.2 e anteriores do nvOC, considere regenerar as chaves de host SSH para evitar ataques man-in-the-middle. Como solução temporária, restrinja o acesso aos nós afetados para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-321

Identificadores relacionados

CVE-2019-19752

Produtos afetados

Nvoc

Referências · 7

• https://github.com/papampi/nvOC_by_fullzero_Community_Release/commits/release · Nota
• https://osv.dev/vulnerability/CVE-2019-19752 · Aviso do Fabricante
• https://rsaxvc.net/blog/2020/4/10/Widespread_re-use_of_SSH_Host_Keys_in_Ethereum_Mining_Rig_Operating_Systems.html · Nota
• https://t.me/cvenotify/116215 · Publicação no Telegram
• https://t.me/cvenotify/78607 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2019-19752 · Nota de Segurança
• https://twitter.com/CVEnew/status/1785366627166404770 · Publicação no Twitter