[TLP:CLEAR] Apache CloudStack opravuje vysoce závažnou zranitelnost
Apache verzemi 4.18.2.5 a 4.19.1.3 opravuje vysoce závažnou zranitelnost [1].
Autentizovanému vzdálenému útočníkovi je kvůli nedostatečné kontrole při registraci KVM-kompatibilních šablon umožněno nasadit škodlivou šablonu na virtuální stroj. Může tak získat neoprávněný přístup k datům nebo vykonat útok DoS na hostitelský systém [2]. Mimo aktualizaci na opravenou verzi je doporučeno kontrolovat, zda KVM-kompatibilní šablony registrované uživateli neobsahují nepovolené nebo nadbytečné funkce. Například pro identifikaci podezřelých disků s odkazy na hostitelské souborové systémy může operátor využít příkazový nástroj "qemu-img", výsledky však mohou být falešně pozitivní i negativní. Více informací naleznete na [1].
Zranitelnost se nachází v produktu:
- Apache CloudStack; >=4, <4.18.2.5; >=4.19, <4.19.1.3;
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2024-50386 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 11. 2024.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dne 25. 11. 2024.