Weak Default Password on System VMs.
- Linguagem predominante
- Java
- Estrelas
- 3.1k
- Forks
- 1.4k
- Merge médio
- 6d 19h
- PRs com merge (30d)
- 32
Descrição
### The required feature described as a wish
**Description:** By default, CloudStack uses a hard-coded password for all System VMs.
**Affected Components:** System VMs (SSVM, CPVM, and VR)
**Impact:** An attacker who knows the default credentials, which are publicly documented, and has console access to any System VM could log in as `root`.
- On a VR: the attacker could act as a man-in-the-middle (MITM).
- On a SSVM: the attacker could tamper with templates and ISOs, and delete snapshots.
- On a CPVM: the attacker could potentially install a keylogger on noVNC sessions.
Steps to Reproduce:
- Open the Console of any System VM.
- Enter the default username `root` and password `password`.
**Recommended Remediation:** Enable randomization of System VM passwords by default, while allowing administrators to disable this behavior if needed.
**Note:** This feature already exists. Additionally, documentation improvements have been proposed to clarify how to enable and use it.
Guia de contribuição
Direção de pesquisa
Comece localizando o recurso existente de randomização de senhas da System VM e a documentação proposta nesta issue; nenhum arquivo ou teste específico é nomeado. Verifique como o comportamento se aplica a SSVM, CPVM e VR, incluindo o padrão de configuração e a opção de desativação. Considera-se concluído quando as senhas são randomizadas por padrão, os administradores ainda podem desativar o comportamento e o uso está documentado claramente.
Escrita pelo modelo de indexação a partir do texto da issue.
Avaliação
- Stack de tecnologia
- java
- Domínio
- cloud, infrastructure, security
- Tipo de issue
- Funcionalidade
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Status de atividade
- Ativa
- Clareza
- Razoavelmente clara
- Facilidade para iniciantes
- 48/100