// For flags

CVE-2019-18615

 

Severity Score

4.9
*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

0
*Multiple Sources

Exploited in Wild

-
*KEV

Decision

-
*SSVC
Descriptions

In CloudVision Portal (CVP) for all releases in the 2018.2 Train, under certain conditions, the application logs user passwords in plain text for certain API calls, potentially leading to user password exposure. This only affects CVP environments where: 1. Devices have enable mode passwords which are different from the user's login password, OR 2. There are configlet builders that use the Device class and specify username and password explicitly Application logs are not accessible or visible from the CVP GUI. Application logs can only be read by authorized users with privileged access to the VM hosting the CVP application.

En CloudVision Portal (CVP) para todos las versiones en el Train versión 2018.2, bajo determinadas condiciones, la aplicación registra las contraseñas de los usuarios en texto plano para ciertas llamadas de la API, conllevando potencialmente a la exposición de la contraseña del usuario. Esto solo afecta a los entornos de CVP donde: 1. Los dispositivos poseen contraseñas del modo de activación que son diferentes de la contraseña de inicio de sesión de usuario, O 2. Presentan constructores configlet que usan la clase Device y especifican explícitamente el nombre de usuario y la contraseña. Los registros de aplicaciones no son accesibles o visibles desde la GUI CVP. Los registros de aplicaciones solo pueden ser leídos por parte de usuarios autorizados con acceso privilegiado a la VM alojada en la aplicación CVP.

*Credits: N/A
CVSS Scores
Attack Vector
Network
Attack Complexity
Low
Privileges Required
High
User Interaction
None
Scope
Unchanged
Confidentiality
High
Integrity
None
Availability
None
Attack Vector
Network
Attack Complexity
Medium
Authentication
Single
Confidentiality
Partial
Integrity
None
Availability
None
* Common Vulnerability Scoring System
SSVC
  • Decision:-
Exploitation
-
Automatable
-
Tech. Impact
-
* Organization's Worst-case Scenario
Timeline
  • 2019-10-29 CVE Reserved
  • 2019-12-19 CVE Published
  • 2023-03-08 EPSS Updated
  • 2024-08-05 CVE Updated
  • ---------- Exploited in Wild
  • ---------- KEV Due Date
  • ---------- First Exploit
CWE
  • CWE-312: Cleartext Storage of Sensitive Information
  • CWE-522: Insufficiently Protected Credentials
CAPEC
Affected Vendors, Products, and Versions
Vendor Product Version Other Status
Vendor Product Version Other Status <-- --> Vendor Product Version Other Status
Arista
Search vendor "Arista"
 Cloudvision Portal
Search vendor "Arista" for product "Cloudvision Portal"
 >= 2018.2.0 <= 2018.2.3
Search vendor "Arista" for product "Cloudvision Portal" and version " >= 2018.2.0 <= 2018.2.3"
-
Affected