漏洞描述:
CloudStack是一个开源的具有高可用性及扩展性的云计算平台，同时是一个开源云计算解决方案,Apache CloudStack集群服务运行在未认证端口上（默认为9090端口），攻击者可以滥用该端口,在目标hypervisor和CloudStack 管理服务器主机上运行任意命令，其中一些命令存在命令注入漏洞,可以通过主机上的代理以特权用户身份执行任意系统命令,这可能导致CloudStack 管理的基础架构的机密性、完整性和可用性完全受损。
修复建议:
正式防护方案:
厂商已发布补丁修复漏洞,用户请尽快更新至安全版本:
Apache CloudStack >= 4.18.2.1
Apache CloudStack >= 4.19.0.2
与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。
参考链接:
https://lists.apache.org/thread/6l51r00csrct61plkyd3qg3fj99215d1
https://cloudstack.apache.org/blog/security-release-advisory-4.19.0.2-4.18.2.1
原文始发于微信公众号（飓风网络安全）：【漏洞预警】Apache CloudStack 未授权命令注入漏洞CVE-2024-38346
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论