Apache CloudStack sérülékenységek

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Apache CloudStack 4.x

Összefoglaló

Az Apache CloudStack olyan sérülékenységei váltak ismertté, amelyeket kihasználva a rosszindulatú, helyi felhasználók bizalmas információkat szerezhetnek meg.

Leírás

1. A createSSHKeyPair API parancs az újonnan létrehozott SSH privát kulcsot elmenti a napló állományokba, ahonnan meg lehet azt szerezni.
2. Az AddHost API hívás egyes információkat napló állományokba rögzít, ahonnan kinyerhető a hozzáadott host jelszava.
3. A DeployVM és ResetPasswordForVM API hívások egyes információkat napló állományokba rögzítenek, ahonnan kinyerhető a hozzáadott VM-ek jelszava.

A sérülékenységek sikeres kihasználásának feltétele, hogy a VM-ek a CloudStack-et használják a jelszókezeléshez.

A sérülékenységeket a 4.0.0 verzióban jelentették

Megoldás

Állítsa “WARN” vagy magasabb szintre a naplózási küszöbértéket!

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia:
SECUNIA 51821
CVE-2012-5616 - NVD CVE-2012-5616