Apache CloudStack 域管理员权限提升风险

北京赛克艾威科技有限公司 2024-08-07


  • 漏洞编号:CVE-2024-42062
  • 漏洞等级:高危
  • 漏洞标签:发布预警、公开漏洞
  • 发布时间:2024-08-07

漏洞描述

Apache CloudStack 是开源的云计算管理平台,用于创建、管理和部署 IaaS 云环境。 受影响版本中由于权限校验不当,拥有域管理员权限的用户可查看包括根管理员在内所有用户的 API 和秘钥,攻击者可利用该漏洞提升权限,访问或修改其他用户的云存储资源。

修复建议

1. 将组件 cloudstack 升级至 4.19.1.1 及以上版本 2. 将组件 cloudstack 升级至 4.18.2.3 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-v9g2-wdpi

https://lists.apache.org/thread/lxqtfd6407prbw3801hb4fz3ot3t8wlj

https://github.com/apache/cloudstack/commit/e7dce2bcce5ba52b7d36551e8b2f0c84e75d7570

https://nvd.nist.gov/vuln/detail/CVE-2024-42062

https://www.oscs1024.com/hd/MPS-v9g2-wdpi