Sévérité : critique
Statut : fixé - à vérifier

Il est possible de monter les volumes de son RPS à distance via une session iSCSI. Les logins sont récupérables en clair dans /sys/class/iscsi_session/session1/ . Le problème vient du fait qu'une réinstallation du serveur ne modifie pas le mot de passe. Cela implique que si un RPS a été hacké en dur, le pirate peut accéder à tous les fichiers sans restriction de droits, et ce tant que le mot de passe iSCSI n'a pas été changé. Les réinstallations de serveur sont tout simplement inutiles.

OVH a annoncé avoir bloque la possibilité de monter les volumes à distance. On ne sait pas ce qu'il en est au niveau des filtrages des serveurs OVH. Des tests sont en cours. Au jour d'aujourd'hui, une réinstallation ne change toujours pas le mot de passe iSCSI.