信息提供：

漏洞类别：

攻击类型：

发布日期：

更新日期：

受影响系统：

安全系统：

无

漏洞报告人：

漏洞描述：

BUGTRAQ  ID: 5423

CVE(CAN) ID: CVE-2002-0849

iSCSI是一款新的协议允许SCSI协议在传统的IP网络上通信。iSCSI主要的验证机制使用CHAP协议。

iSCSI的Linux实现存在配置问题，本地攻击者可以利用这个漏洞获得验证密码等敏感信息。

iSCSI的Linux实现中的配置信息保存在/etc/iscsi.conf中，这个文件默认情况下以全局可读和可能全局可写的属性进行安装，任意本地用户可以通过查看这个配置文件获得CHAP验证密码等敏感信息。

测试方法：

无

解决方法：

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 管理员可以通过手工正确的设置'iscsi.conf'文件读和写访问权限，一般是0600。

厂商补丁：

Cisco

-----

通过Cisco站点或者SourceForge下载的Linux-iscsi驱动的安装脚本不存在此漏洞。但是部分Linux版本以不安全的权限进行安装。

频道声明：本频道的文章除部分特别声明禁止转载的专稿外，可以自由转载.但请务必注明出出处和原始作者 文章版权归本频道与文章作者所有.对于被频道转载文章的个人和网站,我们表示深深的谢意。 原始作者:佚名 录入时间:2006-11-22 信息来源:不详 投稿信箱:itqoo@126.com