apache / apache/cloudstack

Weak Default Password on System VMs.

Aberta
#14,075 1 comentário 0 reações 0 responsáveis Ver no GitHub
component:csvm component:ssvm component:virtual-router type:security
Linguagem predominante
Java
Estrelas
3.1k
Forks
1.4k
Merge médio
6d 19h
PRs com merge (30d)
32

Descrição

### The required feature described as a wish

**Description:** By default, CloudStack uses a hard-coded password for all System VMs.

**Affected Components:** System VMs (SSVM, CPVM, and VR)

**Impact:** An attacker who knows the default credentials, which are publicly documented, and has console access to any System VM could log in as `root`.

- On a VR: the attacker could act as a man-in-the-middle (MITM).
- On a SSVM: the attacker could tamper with templates and ISOs, and delete snapshots.
- On a CPVM: the attacker could potentially install a keylogger on noVNC sessions.

Steps to Reproduce:

- Open the Console of any System VM.
- Enter the default username `root` and password `password`.

**Recommended Remediation:** Enable randomization of System VM passwords by default, while allowing administrators to disable this behavior if needed.

**Note:** This feature already exists. Additionally, documentation improvements have been proposed to clarify how to enable and use it.

Guia de contribuição

Abrir o guia de contribuição

Direção de pesquisa

Comece localizando o recurso existente de randomização de senhas da System VM e a documentação proposta nesta issue; nenhum arquivo ou teste específico é nomeado. Verifique como o comportamento se aplica a SSVM, CPVM e VR, incluindo o padrão de configuração e a opção de desativação. Considera-se concluído quando as senhas são randomizadas por padrão, os administradores ainda podem desativar o comportamento e o uso está documentado claramente.

Escrita pelo modelo de indexação a partir do texto da issue.

Avaliação

Stack de tecnologia
java
Domínio
cloud, infrastructure, security
Tipo de issue
Funcionalidade
Dificuldade
4/5
Tempo estimado
3-5 dias
Status de atividade
Ativa
Clareza
Razoavelmente clara
Facilidade para iniciantes
48/100

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.