<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="Generator" content="Microsoft Word 14 (filtered medium)">
<style><!--
/* Font Definitions */
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
        {font-family:Tahoma;
        panose-1:2 11 6 4 3 5 4 4 2 4;}
@font-face
        {font-family:Verdana;
        panose-1:2 11 6 4 3 5 4 4 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0cm;
        margin-bottom:.0001pt;
        font-size:12.0pt;
        font-family:"Times New Roman","serif";}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
p.MsoAcetate, li.MsoAcetate, div.MsoAcetate
        {mso-style-priority:99;
        mso-style-link:"Balloon Text Char";
        margin:0cm;
        margin-bottom:.0001pt;
        font-size:8.0pt;
        font-family:"Tahoma","sans-serif";}
span.BalloonTextChar
        {mso-style-name:"Balloon Text Char";
        mso-style-priority:99;
        mso-style-link:"Balloon Text";
        font-family:"Tahoma","sans-serif";}
span.EmailStyle19
        {mso-style-type:personal-reply;
        font-family:"Calibri","sans-serif";
        color:#365F91;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-family:"Calibri","sans-serif";}
@page WordSection1
        {size:612.0pt 792.0pt;
        margin:72.0pt 90.0pt 72.0pt 90.0pt;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
</head>
<body lang="EN-US" link="blue" vlink="purple">
<div class="WordSection1">
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#365F91">Yes will do.<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#365F91"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#365F91">Thanks a lot everyone!<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#365F91"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><b><span style="font-size:8.0pt;font-family:&quot;Verdana&quot;,&quot;sans-serif&quot;;color:black"><o:p>&nbsp;</o:p></span></b></p>
<p class="MsoNormal"><b><span style="font-size:8.0pt;font-family:&quot;Verdana&quot;,&quot;sans-serif&quot;;color:black"><o:p>&nbsp;</o:p></span></b></p>
<p class="MsoNormal"><b><span style="font-size:8.0pt;font-family:&quot;Verdana&quot;,&quot;sans-serif&quot;;color:black"><o:p>&nbsp;</o:p></span></b></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#365F91">--<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#365F91">df<o:p></o:p></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:&quot;Calibri&quot;,&quot;sans-serif&quot;;color:#365F91"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><b><span style="font-size:10.0pt;font-family:&quot;Tahoma&quot;,&quot;sans-serif&quot;">From:</span></b><span style="font-size:10.0pt;font-family:&quot;Tahoma&quot;,&quot;sans-serif&quot;"> cobbler-bounces@lists.fedorahosted.org [mailto:cobbler-bounces@lists.fedorahosted.org]
<b>On Behalf Of </b>J?rgen Maas<br>
<b>Sent:</b> Thursday, May 08, 2014 9:28 AM<br>
<b>To:</b> cobbler mailing list<br>
<b>Subject:</b> Re: [cobbler] Cobbler WebUI file inclusion in profile page<o:p></o:p></span></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<div>
<div>
<div>
<p class="MsoNormal">Yes it can. I think restricting access to the kickstart directory makes sense.
<o:p></o:p></p>
</div>
<p class="MsoNormal" style="margin-bottom:12.0pt">Can you please log an issue over at
<a href="http://github.com/cobbler/cobbler">http://github.com/cobbler/cobbler</a><o:p></o:p></p>
</div>
<p class="MsoNormal">Thanks!<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal" style="margin-bottom:12.0pt"><o:p>&nbsp;</o:p></p>
<div>
<p class="MsoNormal">On Thu, May 8, 2014 at 8:03 AM, Dolev Farhi &lt;<a href="mailto:D.Farhi@f5.com" target="_blank">D.Farhi@f5.com</a>&gt; wrote:<o:p></o:p></p>
<p class="MsoNormal">Can this be taken into consideration in next release?<br>
<br>
<br>
<br>
<br>
--<br>
df<o:p></o:p></p>
<div>
<div>
<p class="MsoNormal"><br>
-----Original Message-----<br>
From: <a href="mailto:cobbler-bounces@lists.fedorahosted.org">cobbler-bounces@lists.fedorahosted.org</a> [mailto:<a href="mailto:cobbler-bounces@lists.fedorahosted.org">cobbler-bounces@lists.fedorahosted.org</a>] On Behalf Of Christopher Liebman<br>
Sent: Thursday, May 08, 2014 12:00 AM<br>
To: cobbler mailing list<br>
Subject: Re: [cobbler] Cobbler WebUI file inclusion in profile page<br>
<br>
Ahh - interesting viewpoint.<br>
<br>
On May 7, 2014, at 12:30 PM, Dolev Farhi &lt;<a href="mailto:D.Farhi@F5.com">D.Farhi@F5.com</a>&gt; wrote:<br>
<br>
&gt; Hi<br>
&gt;<br>
&gt; This sounds a little weird to me, a user mis configuration leads to crucial system files exposure? Doesnt it sound reasonable to have some sort of a file restriction or path restriction to include files from (especially if these are just kickstart files)<br>
&gt; Considering sometimes cobbler deployments are not done by sysadmins or other IT personnel it is worrying us that pretty much any file is exposed via cobbler webUI.<br>
&gt; ________________________________________<br>
&gt; From: <a href="mailto:cobbler-bounces@lists.fedorahosted.org">cobbler-bounces@lists.fedorahosted.org</a> [<a href="mailto:cobbler-bounces@lists.fedorahosted.org">cobbler-bounces@lists.fedorahosted.org</a>] on behalf of Christopher Liebman [<a href="mailto:liebman@zod.com">liebman@zod.com</a>]<br>
&gt; Sent: Wednesday, May 07, 2014 5:59 PM<br>
&gt; To: cobbler mailing list<br>
&gt; Subject: Re: [cobbler] Cobbler WebUI file inclusion in profile page<br>
&gt;<br>
&gt; Hmm, &nbsp;I'm not sure that I would classify a user mis-configuration as a software security issue.<br>
&gt;<br>
&gt; &nbsp; &nbsp;-- Chris<br>
&gt;<br>
&gt; On May 7, 2014, at 4:28 AM, Dolev Farhi &lt;D.Farhi@F5.com&lt;mailto:<a href="mailto:D.Farhi@F5.com">D.Farhi@F5.com</a>&gt;&gt; wrote:<br>
&gt;<br>
&gt; hello,<br>
&gt;<br>
&gt; I would like to know whether this issue has been addressed before:<br>
&gt;<br>
&gt; I have created a regular cobbler profile, nothing fancy.<br>
&gt;<br>
&gt; The only thing I did different is changing the ‘Kickstart’ value to the famous /etc/passwd file.<br>
&gt;<br>
&gt; After saving the profile, I went to ‘View Kickstart’ and managed to get all the passwd content.<br>
&gt;<br>
&gt; This issue allows any remote attacker to get the local users list and I am quite sure this can be classified as a security vulnerability.<br>
&gt;<br>
&gt; Please let me know as we have multiple cobbler instances here.<br>
&gt;<br>
&gt; --<br>
&gt;<br>
&gt; df<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; _______________________________________________<br>
&gt; cobbler mailing list<br>
&gt; <a href="mailto:cobbler@lists.fedorahosted.org">cobbler@lists.fedorahosted.org</a>&lt;mailto:<a href="mailto:cobbler@lists.fedorahosted.org">cobbler@lists.fedorahosted.org</a>&gt;<br>
&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/cobbler" target="_blank">
https://lists.fedorahosted.org/mailman/listinfo/cobbler</a><br>
&gt;<br>
&gt; _______________________________________________<br>
&gt; cobbler mailing list<br>
&gt; <a href="mailto:cobbler@lists.fedorahosted.org">cobbler@lists.fedorahosted.org</a><br>
&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/cobbler" target="_blank">
https://lists.fedorahosted.org/mailman/listinfo/cobbler</a><br>
<br>
_______________________________________________<br>
cobbler mailing list<br>
<a href="mailto:cobbler@lists.fedorahosted.org">cobbler@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/cobbler" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/cobbler</a><br>
_______________________________________________<br>
cobbler mailing list<br>
<a href="mailto:cobbler@lists.fedorahosted.org">cobbler@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/cobbler" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/cobbler</a><o:p></o:p></p>
</div>
</div>
</div>
<p class="MsoNormal"><br>
<br clear="all">
<br>
-- <br>
Grtz,<br>
Jörgen Maas <o:p></o:p></p>
</div>
</div>
</body>
</html>