CVE-2019-19752
Publiée le 2024-04-30 · Dernière modification le 2026-06-17
Les installations de nvOC jusqu'à la version 3.2 utilisent des clés d'hôte SSH génériques et codées en dur au lieu de clés uniques pour chaque déploiement. Un attaquant disposant d'un accès réseau peut utiliser ces clés connues pour mener des attaques de type « man-in-the-middle » afin d'intercepter le trafic, ou pour identifier facilement les nœuds vulnérables à l'aide de scanners comme Shodan. Cette exploitation ne nécessite ni authentification ni interaction de l'utilisateur pour être exécutée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
nvOC through 3.2 ships with SSH host keys baked into the installation image, which allows man-in-the-middle attacks and makes identification of all public IPv4 nodes trivial with Shodan.io. NOTE: as of 2019-12-01, the vendor indicated plans to fix this in the next image build.