OpenStack: Beliebiger Dateizugriff durch benutzerdefinierte QCOW2-Daten

Eine Sicherheitslücke (CVE-2024-32498) in der Verarbeitung von QCOW2-Images betrifft die OpenStack-Komponenten Cinder, Glance und Nova. Martin Kaesberger entdeckte, dass ein speziell erstelltes QCOW2-Image, das einen bestimmten Dateipfad referenziert, es einem authentifizierten Benutzer ermöglicht, auf die Inhalte dieser Datei zuzugreifen. Dies kann zu einem unbefugten Zugriff auf potenziell sensible Daten führen.

Betroffene Versionen:

  • Cinder: <22.1.3, >=23.0.0 <23.1.1, ==24.0.0
  • Glance: <26.0.1, ==27.0.0, >=28.0.0 <28.0.2
  • Nova: <27.3.1, >=28.0.0 <28.1.1, >=29.0.0 <29.0.3

Alle Cinder-Installationen sind betroffen. Bei Glance sind nur Deployments betroffen, bei denen die Bildkonvertierung aktiviert ist. Alle Nova-Installationen sind ebenfalls betroffen. Patches für die betroffenen Versionen sind auf OpenDev verfügbar. Eine Liste der spezifischen Patch-Links ist in den offiziellen Mitteilungen enthalten.

Nutzer sollten ihre Systeme umgehend aktualisieren, um diese Sicherheitslücke zu schließen und den Schutz ihrer Daten zu gewährleisten.

Tags :

Related Posts

Kiritsche Schwachstellen im Apache HTTP Server gefunden

Im Apache HTTP Server 2.4 wurden mehrere kritische Sicherheitslücken entdeckt. Die Schwachstellen können zu schweren Sicherheitsproblemen wie Quellcode-Offenlegung, Denial-of-Service (DoS) und Server-Side Request Forgery (SSRF) führen. Hier sind die wichtigsten Details zu diesen Schwachstellen und den entsprechenden Fixes:

Read More

V3B-Phishing-Kit bedroht europäische Banken

Von Dr. Martin J. Krämer, Security Awareness Advocate bei KnowBe4

Read More

Remote Code Execution in Windows Bluetooth Service möglich

Am 14. März 2023 veröffentlichte Microsoft eine kritische Remote Code Execution Sicherheitslücke im Windows Bluetooth Service. Die Schwachstelle CVE-2023-24871 betrifft die Verarbeitung von Bluetooth Low Energy (BLE) Werbedaten im Windows Bluetooth-Stack. Angreifer können durch Manipulation der Werbedaten einen Intteger-Overflow auslösen, wodurch Daten außerhalb der vorgesehenen Puffergrenzen geschrieben werden. Dies ermöglicht es Angreifern, beliebigen Code auszuführen. Betroffen sind: Der Windows Bluetooth-Stack, einschließlich bthport.sys, Microsoft.Bluetooth.Service.dll, Windows.Internal.Service.dll und dafBth.dll.

Read More