Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Apache CloudStack opravuje 2 kritické zranitelnosti
Apache verzemi 4.18.2.1 a 4.19.0.2 opravuje 2 kritické zranitelnosti v produktu Apache CloudStack. Jako dočasnou opravu je možné omezit přístup na server pouze pomocí portů nezbytných pro správnou funkci a port klastrové služby (v základním nastavení port 9090) omezit pouze na přístup z důvěryhodných sítí nebo IP adres [1].
Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně spouštět kód zasíláním speciálně vytvořených paketů na port klastrové služby [1][2].
Zranitelnost se nachází v produktu:
- Apache CloudStack; >=4.0.0, <4.18.2.1; >=4.19.0.0, <4.19.0.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-38346 na cve.org, NVD
- CWE-94 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 5. 7. 2024.
Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně spouštět kód zasíláním speciálně vytvořených paketů na API port integrace, a to i v případě, že tato služba nebyla v konfiguraci povolena, kdy bude dostupná na náhodném portu [1][3].
Zranitelnost se nachází v produktu:
- Apache CloudStack; >=4.0.0, <4.18.2.1; >=4.19.0.0, <4.19.0.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-39864 na cve.org, NVD
- CWE-665 na cwe.mitre.org
- CWE-94 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 5. 7. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 10. 7. 2024.