【漏洞预警】Apache CloudStack 未授权命令注入漏洞CVE-2024-38346

cexlife 飓风网络安全 2024-07-08 20:04

漏洞描述:
CloudStack是一个开源的具有高可用性及扩展性的云计算平台，同时是一个开源云计算解决方案,Apache CloudStack集群服务运行在未认证端口上（默认为9090端口），攻击者可以滥用该端口,在目标hypervisor和CloudStack 管理服务器主机上运行任意命令，其中一些命令存在命令注入漏洞,可以通过主机上的代理以特权用户身份执行任意系统命令,这可能导致CloudStack 管理的基础架构的机密性、完整性和可用性完全受损。修复建议:正式防护方案:厂商已发布补丁修复漏洞,用户请尽快更新至安全版本:Apache CloudStack >= 4.18.2.1Apache CloudStack >= 4.19.0.2与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。参考链接:https://lists.apache.org/thread/6l51r00csrct61plkyd3qg3fj99215d1https://cloudstack.apache.org/blog/security-release-advisory-4.19.0.2-4.18.2.1