iSCSI不安全配置文件权限本地信息泄露漏洞

信息提供：	安全公告（或线索）提供热线：
漏洞类别：	本地信息泄露漏洞
攻击类型：	本地攻击
发布日期：	2002-08-08
更新日期：	2002-08-13
受影响系统：	Cisco iSCSI Linux 2.1.2.1 - SuSE Linux 8.0
安全系统：	无
漏洞报告人：	Kurt Seifried
漏洞描述：	BUGTRAQ  ID: 5423 CVE(CAN) ID: iSCSI是一款新的协议允许SCSI协议在传统的IP网络上通信。iSCSI主要的验证机制使用CHAP协议。 iSCSI的Linux实现存在配置问题，本地攻击者可以利用这个漏洞获得验证密码等敏感信息。 iSCSI的Linux实现中的配置信息保存在/etc/iscsi.conf中，这个文件默认情况下以全局可读和可能全局可写的属性进行安装，任意本地用户可以通过查看这个配置文件获得CHAP验证密码等敏感信息。
测试方法：	无
解决方法：	临时解决方法： 如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁： * 管理员可以通过手工正确的设置'iscsi.conf'文件读和写访问权限，一般是0600。 厂商补丁： Cisco ----- 通过Cisco站点或者SourceForge下载的Linux-iscsi驱动的安装脚本不存在此漏洞。但是部分Linux版本以不安全的权限进行安装。