CVSS: 7.8EPSS: 0%CPEs: 1EXPL: 1CVE-2018-1000018
https://notcve.org/view.php?id=CVE-2018-1000018
An information disclosure in ovirt-hosted-engine-setup prior to 2.2.7 reveals the root user's password in the log file. Una revelación de información en ovirt-hosted-engine-setup, en versiones anteriores a la 2.2.7 revela la contraseña del usuario root en el archivo log. • https://bugzilla.redhat.com/show_bug.cgi?id=1536941 https://gerrit.ovirt.org/#/c/86635 • CWE-532: Insertion of Sensitive Information into Log File •
CVSS: 7.5EPSS: 0%CPEs: 30EXPL: 0CVE-2014-7851
https://notcve.org/view.php?id=CVE-2014-7851
oVirt 3.2.2 through 3.5.0 does not invalidate the restapi session after logout from the webadmin, which allows remote authenticated users with knowledge of another user's session data to gain that user's privileges by replacing their session token with that of another user. oVirt 3.2.2 hasta la versión 3.5.0 no invalida la sesión restapi tras cerrar sesión desde el webadmin, lo que permite que usuarios remotos autenticados con conocimientos sobre los datos de sesión de otro usuario obtengan los privilegios de ese usuario reemplazando su token de sesión por el de otro usuario. • https://bugzilla.redhat.com/show_bug.cgi?id=1161730 https://bugzilla.redhat.com/show_bug.cgi?id=1165311 • CWE-264: Permissions, Privileges, and Access Controls •
CVSS: 9.0EPSS: 0%CPEs: 2EXPL: 0CVE-2014-8170
https://notcve.org/view.php?id=CVE-2014-8170
ovirt_safe_delete_config in ovirtfunctions.py and other unspecified locations in ovirt-node 3.0.0-474-gb852fd7 as packaged in Red Hat Enterprise Virtualization 3 do not properly quote input strings, which allows remote authenticated users and physically proximate attackers to execute arbitrary commands via a ; (semicolon) in an input string. ovirt_safe_delete_config en ovirtfunctions.py y otras localizaciones sin especificar en ovirt-node 3.0.0-474-gb852fd7 tal y como se incluye en Red Hat Enterprise Virtualization 3 no emplea comillas correctamente en las cadenas de entrada, lo que permite que los usuarios autenticados y atacantes cercanos físicamente puedan ejecutar comandos arbitrarios mediante un ";" (punto y coma) en una cadena de ayuda. • https://bugzilla.redhat.com/show_bug.cgi?id=1194745 https://gerrit.ovirt.org/gitweb?p=ovirt-node.git%3Ba=blob%3Bf=src/ovirtnode/ovirtfunctions.py%3Bh=caef7ef019ca12b49aa3c030792538956fb4caad%3Bhb=e11e02cd9256c854dd0419515097637d6829b4f1#l1091 • CWE-134: Use of Externally-Controlled Format String •
CVSS: 5.5EPSS: 0%CPEs: 1EXPL: 0CVE-2016-6341
https://notcve.org/view.php?id=CVE-2016-6341
oVirt Engine before 4.0.3 does not include DWH_DB_PASSWORD in the list of keys to hide in log files, which allows local users to obtain sensitive password information by reading engine log files. oVirt Engine en versiones anteriores a 4.0.3 no incluye DWH_DB_PASSWORD en el listado de claves que se ocultan en los archivos de registro, lo que permite a usuarios locales obtener información sensible de contraseñas mediante la lectura de los archivos de registro de motor. • http://www.securityfocus.com/bid/92665 https://bugzilla.redhat.com/show_bug.cgi?id=1363816 https://bugzilla.redhat.com/show_bug.cgi?id=1369793 https://www.ovirt.org/release/4.0.3 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 5.0EPSS: 0%CPEs: 1EXPL: 0CVE-2014-0154 – ovirt-engine-webadmin: HttpOnly flag is not included when the session ID is set
https://notcve.org/view.php?id=CVE-2014-0154
oVirt Engine before 3.5.0 does not include the HTTPOnly flag in a Set-Cookie header for the session IDs, which makes it easier for remote attackers to obtain potentially sensitive information via script access to this cookie. oVirt Engine anterior a 3.5.0 no incluye el indicador HTTPOnly en una cabecera Set-Cookie para los identificadores de la sesión, lo que facilita a atacantes remotos obtener información potencialmente sensible a través del acceso de secuencias de comandos a esta cookie. It was found that the oVirt web admin interface did not include the HttpOnly flag when setting session IDs with the Set-Cookie header. This flaw could make it is easier for a remote attacker to hijack an oVirt web admin session by leveraging a cross-site scripting (XSS) vulnerability. • http://rhn.redhat.com/errata/RHSA-2015-0158.html https://bugzilla.redhat.com/show_bug.cgi?id=1077450 https://access.redhat.com/security/cve/CVE-2014-0154 https://bugzilla.redhat.com/show_bug.cgi?id=1081896 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-522: Insufficiently Protected Credentials •