CVE-2022-26779
Açıklama
4.16.1.0 öncesindeki Apache CloudStack, proje davet jetonları için güvensiz rastgele sayı üretimi kullanmıştır. Bir proje daveti yalnızca bir e-posta adresine dayalı olarak oluşturulursa, rastgele bir jeton üretilir. Proje ID'sini bilen ve davetin gönderildiği bilgisini elde eden bir saldırgan, zamana bağlı deterministik jetonlar üretebilir ve meşru alıcı daveti kabul etmeden önce bunları kullanmak için kaba kuvvet saldırısı deneyebilir. Bu özellik varsayılan olarak etkin değildir; saldırganın davet jetonuna ek olarak davete konu olan proje ID'sini bilmesi veya tahmin etmesi gerekir ve saldırganın mevcut yetkili bir CloudStack kullanıcısı olması gerekmektedir.
Nasıl düzeltilir
- apache cloudstack4.16.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cloudstack | v < 4.16.1.0 | 4.16.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.