CVE-2024-45219

Apache CloudStack-də hesab istifadəçilərinə standart olaraq instansların yerləşdirilməsi üçün şablonları yükləmək və qeydiyyata almaq, həmçinin mövcud instanslarına məlumat diski kimi əlavə etmək üçün həcmləri (volumes) yükləmək və qeydiyyatdan keçirmək icazəsi verilir. CloudStack 4.0.0-dan 4.18.2.3-ə qədər və 4.19.0.0-dan 4.19.1.1-ə qədər olan versiyalarda KVM ilə uyğun şablonlar və ya həcmlər üçün validasiya yoxlamalarının çatışmaması səbəbindən, şablon və həcmləri yükləyə və ya qeydiyyata ala bilən hücumçu, onlardan KVM əsaslı mühitlərdə zərərli instanslar yerləşdirmək və ya yüklənmiş həcmləri mövcud instanslarına əlavə etmək üçün istifadə edə bilər. Bu, host fayl sistemlərinə giriş əldə etmək üçün istismar edilə bilər ki, bu da resursların bütövlüyünün və məxfiliyinin pozulmasına, məlumat itkisinə, xidmətdən imtinaya və CloudStack tərəfindən idarə olunan KVM əsaslı infrastrukturun əlçatanlığının pozulmasına səbəb ola bilər. İstifadəçilərə bu problemi aradan qaldıran Apache CloudStack 4.18.2.4 və ya 4.19.1.2 və daha yeni versiyalara yeniləmək tövsiyə olunur. Əlavə olaraq, istifadəçi tərəfindən yüklənmiş və ya qeydiyyata alınmış bütün KVM-uyğun şablonlar və həcmlər skan edilə və onların heç bir əlavə və ya lazımsız funksiyalardan istifadə etməyən düz fayllar (flat files) olduğu yoxlanıla bilər. Məsələn, operatorlar bunu öz ikincili yaddaşlarında (secondary storage) işə salıb nəticələri araşdıra bilərlər. Validasiya edilən disk üçün boş çıxış onun host fayl sistemlərinə heç bir istinadı olmadığı anlamına gəlir; digər tərəfdən, əgər çıxış boş deyilsə, bu, kompromisə uğramış diskə işarə edə bilər. for file in $(find /path/to/storage/ -type f -regex [a-f0-9\-]*.*); do echo "Retrieving file [$file] info. If the output is not empty, that might indicate a compromised disk; check it carefully."; qemu-img info -U $file | grep file: ; printf "\n\n"; done Bu əmr fayl əsaslı ilkin yaddaşlar (primary storages) üçün də işə salına bilər; lakin nəzərə alın ki, (i) şablonlardan yaradılan həcmlər əvvəlcə şablonlara istinadlara malik olacaq və (ii) həcmlər miqrasiya zamanı konsolidasiya edilərkən şablonlara olan istinadlarını itirə bilər. Buna görə də, ilkin yaddaşlar üçün əmrin icrası həm yanlış müsbət (false positive), həm də yanlış mənfi (false negative) nəticələr göstərə bilər. Hər bir diskin bütün şablon/həcm funksiyalarını yoxlamaq üçün operatorlar aşağıdakı əmri işə sala bilərlər: for file in $(find /path/to/storage/ -type f -regex [a-f0-9\-]*.*); do echo "Retrieving file [$file] info."; qemu-img info -U $file; printf "\n\n"; done