Failure to Initialize a Secure Transport Layer (TLS) During Out-of-the-Box Setup.

Đang mở
#14,074 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
25/100
Loại issue
Tính năng
Độ rõ ràng
Cần làm rõ
Mức độ hoạt động
Sôi nổi
Công nghệ
java
Lĩnh vực
api, backend, security

Hướng nghiên cứu

Bắt đầu bằng cách làm theo tài liệu triển khai CloudStack chính thức và tái hiện việc truy cập HTTP trên cổng 8080 cũng như việc truy cập HTTPS thất bại trên cổng 8443. Kiểm tra thiết lập out-of-the-box cho Management UI/API, SSVM và CPVM; được xem là hoàn tất khi TLS được bật theo mặc định và lưu lượng quản lý không bị exposed ở dạng cleartext.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

component:management-server type:security
The required feature described as a wish

Description: TLS is not enabled by default on the Management server or System VMs. This insecure default persists until explicitly remediated by the administrator.

Affected Component: Management UI / API, SSVM, CPVM

Impact: An attacker with network access can trivially intercept or sniff management traffic, including administrator credentials (password and 2FA codes), session tokens, API keys, and sensitive configuration data.

Steps to Reproduce:

  • Deploy ACS following the official documentation.
  • Navigate to http://:8080/ (no HTTPS redirect occurs).
  • Attempt to connect to https://:8443/ and confirm that the connection fails.
  • Capture traffic with Wireshark or tcpdump during a login session.
  • Observe that credentials and session tokens are transmitted in cleartext.

Recommended Remediation: Enable TLS by default during installation. A self-signed certificate can be automatically generated and configured without any additional effort on the user's part.

Ngôn ngữ chính
Java
Star
3.1k
Fork
1.4k
Merge trung bình
7 ngày 5 giờ
Pull request đã merge (30 ngày)
28

Hướng dẫn đóng góp

Mở hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của apache/cloudstack

Tất cả issue của apache/cloudstack

Issue tương tự

Thêm issue về Java

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.