CVE-2024-42062
Açıklama
CloudStack hesap kullanıcıları, varsayılan olarak API ve kullanıcı arayüzü erişimi için kullanıcı adı ve şifre tabanlı kimlik doğrulaması kullanır. Hesap kullanıcıları, API tabanlı otomasyon ve entegrasyonlar amacıyla rastgele oluşturulmuş API ve gizli anahtarlar üretebilir ve kaydedebilirler. Apache CloudStack 4.10.0 ile 4.19.1.0 arasındaki sürümleri etkileyen bir erişim izni doğrulama sorunu nedeniyle, alan yöneticisi (domain admin) hesaplarının, kök yönetici (root admin) dahil olmak üzere ortamdaki tüm kayıtlı hesap kullanıcılarının API ve gizli anahtarlarını sorgulayabildiği tespit edilmiştir. Alan yöneticisi erişimine sahip bir saldırgan, bunu kullanarak kök yönetici ve diğer hesap ayrıcalıkları elde edebilir; kaynakların bütünlüğünün ve gizliliğinin bozulmasına, veri kaybına, hizmet reddine ve CloudStack tarafından yönetilen altyapının kullanılabilirliğinin etkilenmesine yol açabilecek kötü niyetli işlemler gerçekleştirebilir. Kullanıcıların bu sorunun giderildiği Apache CloudStack 4.18.2.3 veya 4.19.1.1 ya da daha yeni bir sürüme yükseltmeleri önerilir. Ayrıca, tüm hesap kullanıcısı API ve gizli anahtarları yeniden oluşturulmalıdır.
Nasıl düzeltilir
- apache cloudstack4.18.2.3, 4.19.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cloudstack | 4.10.0.0 ≤ v < 4.18.2.3, 4.19.0.0 ≤ v < 4.19.1.1 | 4.18.2.3, 4.19.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.