Remote Code Execution Schwachstelle in Apache CloudStack LTS
Table of Contents
Das Apache CloudStack-Projekt kündigt die Veröffentlichung der LTS-Sicherheitsupdates 4.18.2.1 und 4.19.0.2 an, die die Schwachstellen CVE-2024-38346 und CVE-2024-39864 beheben.
CVE-2024-38346: Unauthentifizierter Cluster-Service-Port führt zu Remote-Ausführung
Diese Schwachstelle betrifft den CloudStack-Cluster-Service, der auf einem nicht authentifizierten Port (standardmäßig 9090) läuft. Angreifer können diesen Port ausnutzen, um beliebige Befehle auf den verwalteten Hypervisoren und CloudStack-Management-Servern auszuführen, was zu einer vollständigen Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit der CloudStack-Infrastruktur führen kann.
CVE-2024-39864: Integrations-API-Dienst verwendet dynamischen Port bei Deaktivierung
Die Integrations-API von CloudStack kann bei einer fehlerhaften Initialisierungslogik auf einem zufälligen Port lauschen, selbst wenn der API-Dienst standardmäßig deaktiviert ist. Angreifer können diesen zufälligen Port scannen und ausnutzen, um unbefugte administrative Aktionen durchzuführen, was ebenfalls zu einer vollständigen Kompromittierung der CloudStack-Infrastruktur führen kann.
Benutzer sollten auf die Versionen 4.18.2.1, 4.19.0.2 oder spätere Versionen aktualisieren. Zusätzlich wird empfohlen, den Netzwerkzugang zum Cluster-Service-Port (Standard 9090) und anderen wichtigen Ports auf den CloudStack-Management-Servern zu beschränken.
Downloads und weitere Informationen: