[TLP:CLEAR] Apache CloudStack opravuje 2 kritické zraniteľnosti
Apache verziami 4.18.2.1 a 4.19.0.2 opravuje 2 kritické zraniteľnosti v produkte Apache CloudStack. Ako dočasnú opravu je možné obmedziť prístup na server iba pomocou portov nevyhnutných pre správnu funkciu a port klastrovej služby (v základnom nastavení port 9090) obmedziť iba na prístup z dôveryhodných sietí alebo IP adries [1].
Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať kód zasielaním špeciálne vytvorených paketov na port klastrovej služby [1][2].
Zraniteľnosť sa nachádza v produkte:
- Apache CloudStack; >=4.0.0, <4.18.2.1; >=4.19.0.0, <4.19.0.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-38346 na cve.org, NVD
- CWE-94 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 5. 7. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene vykonávať kód zasielaním špeciálne vytvorených paketov na API port integrácie, a to aj v prípade, že táto služba nebola v konfigurácii povolená, kedy bude dostupná na náhodnom porte [1][3].
Zraniteľnosť sa nachádza v produkte:
- Apache CloudStack; >=4.0.0, <4.18.2.1; >=4.19.0.0, <4.19.0.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2024-39864 na cve.org, NVD
- CWE-665 na cwe.mitre.org
- CWE-94 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 5. 7. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dňa 10. 7. 2024.