Ubuntu Server 安装程序漏洞：将密码泄露到日志中

图片地址：https://img.ithome.com/newsuploadfiles/2020/5/20200513084912_6749.jpg

最新版本的 Ubuntu Server 安装程序将密码泄露到了其日志文件中。Subiquity 是 Ubuntu Server 的安装程序，它已经存在了近 3 年，但是直到上个月底发布的 Ubuntu 20.04 才将其作为默认支持工具，此前的 Debian Installer 镜像已经不再适用。 Subiquity 一直以来维护得也比较粗糙，但是现在它已经变成默认 Ubuntu Server 安装程序，也就意味着开发者需要更加关注到对它的维护上，很快就有开发者发现了其中的一个严重漏洞。这一漏洞表现为：LUKS 卷的密码会显示在各种输出中，包括：autoinstall-user-data curtin-install-cfg.yaml curtin-install.log installer-journal.txt subiquity-curtin-install.conf。该漏洞被标记为 CVE&