Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Apache CloudStack opravuje vysoko závažnú zraniteľnosť
Apache vo verziách 4.18.2.5 a 4.19.1.3 opravuje vysoko závažnú zraniteľnosť [1].
Autentizovanému vzdialenému útočníkovi je z dôvodu nedostatočnej kontroly pri registrácii KVM-kompatibilných šablón umožnené nasadiť škodlivú šablónu na virtuálny stroj. Môže tak získať neoprávnený prístup k údajom alebo vykonať útok DoS na hostiteľský systém [2]. Okrem aktualizácie na opravenú verziu sa odporúča kontrolovať, či KVM-kompatibilné šablóny registrované používateľmi neobsahujú nepovolené alebo nadbytočné funkcie. Napríklad na identifikáciu podozrivých diskov s odkazmi na hostiteľské súborové systémy môže operátor využiť príkazový nástroj "qemu-img", výsledky však môžu byť falošne pozitívne aj negatívne. Viac informácií nájdete na [1].
Zraniteľnosť sa nachádza v produkte:
- Apache CloudStack; >=4, <4.18.2.5; >=4.19, <4.19.1.3;
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-50386 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 12. 11. 2024.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 25. 11. 2024.