最新版本的 Ubuntu Server 安装程序将密码泄露到了其日志文件中。
Subiquity 是 Ubuntu Server 的安装程序,它已经存在了近 3 年,但是直到上个月底发布的 Ubuntu 20.04 才将其作为默认支持工具,此前的 Debian Installer 镜像已经不再适用。 Subiquity 一直以来维护得也比较粗糙,但是现在它已经变成默认 Ubuntu Server 安装程序,也就意味着开发者需要更加关注到对它的维护上,很快就有开发者发现了其中的一个严重漏洞。
这一漏洞表现为:LUKS 卷的密码会显示在各种输出中,包括:autoinstall-user-data curtin-install-cfg.yaml curtin-install.log installer-journal.txt subiquity-curtin-install.conf。
该漏洞被标记为 CVE 2020-11932,严重程度为“紧急”,不过,开发者目前已经修复了该漏洞,并且 Subiquity 本身支持在安装过程中升级安装程序,用户启动后即可以升级该程序。
特别提醒:本网内容转载自其他媒体,目的在于传递更多信息,并不代表本网赞同其观点。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,并请自行核实相关内容。本站不承担此类作品侵权行为的直接责任及连带责任。如若本网有任何内容侵犯您的权益,请及时联系我们,本站将会在24小时内处理完毕。