執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機上安裝的 cloud-init 套件受到多個弱點影響：

  - cloud-init 0.6.2 和更新版本中的預設 cloud-init 組態包含 ssh_deletekeys: 0，導致停用 cloud-init 的 ssh 主機金鑰刪除。在某些環境中，這可導致有心人士透過複製 Golden Master 或範本系統、共用 ssh 主機金鑰，以及偽造他人或發動攔截式攻擊來建立執行個體。(CVE-2018-10896)

  - 在 19.4 及之前的 cloud-init，cloudinit/config/cc_set_passwords.py 中的 rand_user_password 具有一個較小的預設 pwlen 值，這使得攻擊者更容易猜出密碼。(CVE-2020-8632)

  - 19.4 及之前的 cloud-init 依賴 Mersenne Twister 取得隨機密碼，這使得攻擊者更容易預測密碼，因為 cloudinit/util.py 中的 rand_str 會呼叫 random.choice 函式。
    (CVE-2020-8631)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

NewStart CGSL CORE 5.04 / MAIN 5.04：cloud-init 多個弱點 (NS-SA-2021-0016)

high Nessus Plugin ID 147387

找不到變更記錄