CVE-2022-26779
Təsvir
4.16.1.0 versiyasından əvvəlki Apache CloudStack layihə dəvət tokenləri üçün təhlükəsiz olmayan təsadüfi ədəd generatorundan istifadə edirdi. Əgər layihə dəvəti yalnız e-poçt ünvanı əsasında yaradılarsa, təsadüfi token generasiya olunur. Layihə ID-si və dəvətin göndərildiyi barədə məlumata malik olan hücumçu, zamanla deterministik tokenlər yarada və qanuni qəbuledici dəvəti qəbul etməzdən əvvəl onları istifadə etmək üçün brute force cəhdləri edə bilərdi. Bu funksiya standart olaraq aktiv deyil; hücumçunun dəvət üçün layihə ID-sini bilməsi və ya təxmin etməsi, həmçinin CloudStack-in mövcud səlahiyyətli istifadəçisi olması tələb olunur.
Necə düzəltmək olar
- apache cloudstack4.16.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache cloudstack | v < 4.16.1.0 | 4.16.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.