CVE-2024-45219

Apache CloudStack'teki hesap kullanıcılarının varsayılan olarak, örnekler dağıtmak için şablonlar yüklemesine ve kaydetmesine ve bunları mevcut örneklerine veri diskleri olarak eklemek için birimler oluşturmasına izin verilir. CloudStack 4.0.0 ile 4.18.2.3 ve 4.19.0.0 ile 4.19.1.1 sürümlerindeki KVM uyumlu şablonlar veya birimler için eksik doğrulama kontrolleri nedeniyle, şablon ve birimleri yükleyebilen veya kaydedebilen bir saldırgan, bunları KVM tabanlı ortamlarda kötü amaçlı örnekler dağıtmak veya yüklü birimleri mevcut örneklerine eklemek için kullanabilir. Bu durum, ana bilgisayar dosya sistemlerine erişim sağlanmasına yol açarak kaynak bütünlüğünün ve gizliliğinin bozulmasına, veri kaybına, hizmet reddine ve CloudStack tarafından yönetilen KVM tabanlı altyapının kullanılabilirliğinin etkilenmesine neden olabilir. Kullanıcıların bu sorunu gideren Apache CloudStack 4.18.2.4 veya 4.19.1.2 ya da daha yeni bir sürüme yükseltmeleri önerilir. Ek olarak, kullanıcılar tarafından yüklenen veya kaydedilen tüm KVM uyumlu şablonlar ve birimler taranarak herhangi bir ek veya gereksiz özellik kullanmayan düz dosyalar oldukları kontrol edilebilir. Örneğin operatörler, bunu ikincil depolama alanlarında çalıştırabilir ve çıktıyı inceleyebilir. Doğrulanan disk için boş bir çıktı, ana bilgisayar dosya sistemlerine referans bulunmadığı anlamına gelir; öte yandan, doğrulanan disk için çıktı boş değilse, bu durum diskin tehlikeye girmiş olabileceğini gösterebilir. for file in $(find /path/to/storage/ -type f -regex [a-f0-9\-]*.*); do echo "Retrieving file [$file] info. If the output is not empty, that might indicate a compromised disk; check it carefully."; qemu-img info -U $file | grep file: ; printf "\n\n"; done Komut, dosya tabanlı birincil depolamalar için de çalıştırılabilir; ancak (i) şablonlardan oluşturulan birimlerin başlangıçta şablonlara referansları olacağı ve (ii) birimlerin taşıma sırasında konsolide edilerek şablon referanslarını kaybedebileceği unutulmamalıdır. Bu nedenle, komutun birincil depolamalarda yürütülmesi hem yanlış pozitiflere hem de yanlış negatiflere yol açabilir. Her diskin tüm şablon/birim özelliklerini kontrol etmek için operatörler aşağıdaki komutu çalıştırabilir: for file in $(find /path/to/storage/ -type f -regex [a-f0-9\-]*.*); do echo "Retrieving file [$file] info."; qemu-img info -U $file; printf "\n\n"; done