CVE-2025-14551Ubuntu Subiquity版本24.04.4中存在一个高危信息泄露漏洞。当系统安装失败并触发崩溃报告机制时,若用户选择向Launchpad提交错误报告,Subiquity可能会在附带的上传日志中意外包含用户的敏感凭证。具体而言,明文的Wi-Fi密码可能会被包含在这些日志中并被发送,导致攻击者可获取用户的网络访问凭证,造成隐私泄露和安全风险。
该漏洞源于Subiquity在处理安装失败后的错误报告收集机制中的不当数据处理。当安装程序崩溃或遇到严重错误时,系统会生成调试日志以便用户提交错误报告。在受影响版本中,日志收集过程未能正确过滤敏感环境变量或配置文件。具体地,在安装过程中配置的Wi-Fi密码等网络凭证被明文记录在日志文件中。当用户执行提交操作时,这些包含明文密码的日志通过HTTP请求上传至Launchpad。由于CVSS向量显示攻击复杂度低且无需用户交互(UI:N),一旦日志被公开,攻击者即可轻松读取并提取出敏感信息,进而利用泄露的凭证接入受害者的Wi-Fi网络。