Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant local peut lire la clé privée KRA de FreeIPA, afin
d’obtenir des informations sensibles.

Produits concernés : FreeIPA.

Gravité : 1/4.

Date création : 09/10/2015.

DESCRIPTION DE LA VULNÉRABILITÉ

Le produit FreeIPA peut être configuré avec KPA (Password Vault).

Dans ce cas, la commande ipa-kra-install stocke la clé privée et
le certificat dans le fichier /etc/httpd/alias/kra-agent.pem.
Cependant, ce fichier est lisible par tous les utilisateurs locaux.

Un attaquant local peut donc lire la clé privée KRA de FreeIPA,
afin d’obtenir des informations sensibles.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/FreeIPA-lecture-de-cle-privee-KRA-18065