Ubuntu Server 安装程序日志中加密分区的密码泄露

规范公司 опубликовала 安装程序的修正版本 次级权益 20.05.2,从 18.04 版本开始,在实时模式下安装时默认使用该名称来安装 Ubuntu Server。 新版本已修复 安全问题 (CVE-2020-11932)是由于在日志中保存了用户设置的用于访问安装期间创建的加密 LUKS 分区的密码而导致的。 更新 iso 图片 该漏洞的消除尚未发布,但新版本的 Subiquity 已修复该漏洞 放置 在 Snap Store 目录中,在系统安装开始之前的阶段,以实时模式启动时可以从该目录更新安装程序。

加密分区的密码以明文形式存储在 autoinstall-user-data、curtin-install-cfg.yaml、curtin-install.log、installer-journal.txt 和 subiquity-curtin-install.conf 文件中,这些文件是安装后保存在/目录var/log/installer中。 在 /var 分区未加密的配置中,如果系统落入坏人之手,则可以从这些文件中提取加密分区的密码,从而无法使用加密。

来源: opennet.ru

添加评论