OpenStack: Beliebiger Dateizugriff durch benutzerdefinierte QCOW2-Daten

Eine Sicherheitslücke (CVE-2024-32498) in der Verarbeitung von QCOW2-Images betrifft die OpenStack-Komponenten Cinder, Glance und Nova. Martin Kaesberger entdeckte, dass ein speziell erstelltes QCOW2-Image, das einen bestimmten Dateipfad referenziert, es einem authentifizierten Benutzer ermöglicht, auf die Inhalte dieser Datei zuzugreifen. Dies kann zu einem unbefugten Zugriff auf potenziell sensible Daten führen.

Betroffene Versionen:

  • Cinder: <22.1.3, >=23.0.0 <23.1.1, ==24.0.0
  • Glance: <26.0.1, ==27.0.0, >=28.0.0 <28.0.2
  • Nova: <27.3.1, >=28.0.0 <28.1.1, >=29.0.0 <29.0.3

Alle Cinder-Installationen sind betroffen. Bei Glance sind nur Deployments betroffen, bei denen die Bildkonvertierung aktiviert ist. Alle Nova-Installationen sind ebenfalls betroffen. Patches für die betroffenen Versionen sind auf OpenDev verfügbar. Eine Liste der spezifischen Patch-Links ist in den offiziellen Mitteilungen enthalten.

Nutzer sollten ihre Systeme umgehend aktualisieren, um diese Sicherheitslücke zu schließen und den Schutz ihrer Daten zu gewährleisten.

Tags :

Related Posts

Hackerangriff auf TeamViewer

Laut Aussage des Global Threat Intelligence Team der NCC Group gab es Ende Juni einen Hackerangriff einer APT-Gruppe auf dei Remote-Access- und Support-Plattform von TeamViewer. Aufgrund der weit verbreiteten Nutzung dieser Software wird diese Warnung sicher an unsere Kunden weitergeleitet.

Read More

Remote Code Execution in Windows Bluetooth Service möglich

Am 14. März 2023 veröffentlichte Microsoft eine kritische Remote Code Execution Sicherheitslücke im Windows Bluetooth Service. Die Schwachstelle CVE-2023-24871 betrifft die Verarbeitung von Bluetooth Low Energy (BLE) Werbedaten im Windows Bluetooth-Stack. Angreifer können durch Manipulation der Werbedaten einen Intteger-Overflow auslösen, wodurch Daten außerhalb der vorgesehenen Puffergrenzen geschrieben werden. Dies ermöglicht es Angreifern, beliebigen Code auszuführen. Betroffen sind: Der Windows Bluetooth-Stack, einschließlich bthport.sys, Microsoft.Bluetooth.Service.dll, Windows.Internal.Service.dll und dafBth.dll.

Read More

GitLab - Kritische Sicherheitslücken wurden gepatcht

GitLab hat am 27.6.24 die Versionen 17.1.1, 17.0.3 und 16.11.5 für die Community Edition (CE) und Enterprise Edition (EE) veröffentlicht. Diese Updates enthalten wichtige Fehler- und Sicherheitskorrekturen. Es wird dringend empfohlen, alle GitLab-Installationen sofort auf eine dieser Versionen zu aktualisieren. GitLab.com nutzt bereits die gepatchte Version.

Read More