Ubuntu Server 설치 프로그램 로그의 암호화된 파티션에서 비밀번호 유출

캐노니컬 컴퍼니 опубликовала 설치 프로그램의 수정 릴리스 서브비쿼터스 20.05.2, 라이브 모드에서 설치할 때 18.04 릴리스 이후 Ubuntu Server 설치에 기본적으로 사용됩니다. 새 릴리스에서 수정됨 보안 문제 (CVE-2020-11932) 설치 중에 생성된 암호화된 LUKS 파티션에 액세스하기 위해 사용자가 설정한 암호를 로그에 저장하여 발생합니다. 업데이트 ISO 이미지 취약점이 제거된 Subiquity는 아직 게시되지 않았지만 수정 사항이 포함된 새 버전의 Subiquity 배치 시스템 설치가 시작되기 전 단계에서 라이브 모드로 부팅할 때 설치 프로그램을 업데이트할 수 있는 Snap Store 디렉토리에 있습니다.

암호화된 파티션의 비밀번호는 다음과 같은 autoinstall-user-data, curtin-install-cfg.yaml, curtin-install.log, installer-journal.txt 및 subiquity-curtin-install.conf 파일에 일반 텍스트로 저장됩니다. 설치 후 / 디렉토리 var/log/installer에 저장됩니다. /var 파티션이 암호화되지 않은 구성에서 시스템이 잘못된 손에 넘어간 경우 암호화된 파티션의 암호가 이 파일에서 추출될 수 있으므로 암호화 사용이 무효화됩니다.

출처 : opennet.ru