PT-2024-31652 · Apache · Apache Cloudstack

Fabrício Duarte · Publicado 2024-10-15 · Atualizado 2025-02-12 · CVE-2024-45461

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas:

Versões do Apache CloudStack de 4.7.0 a 4.18.2.3

Versões do Apache CloudStack de 4.19.0.0 a 4.19.1.1

Descrição:

O recurso de cota do CloudStack, que vem desativado por padrão, permite que os administradores de nuvem implementem um sistema de cotas ou limites de uso para os recursos da nuvem. No entanto, devido à falta de verificações de acesso, contas de usuário não administrativas do CloudStack podem acessar e modificar configurações e dados relacionados à cota quando o recurso está habilitado.

Recomendações:

Para as versões do Apache CloudStack 4.7.0 a 4.18.2.3, atualize para o Apache CloudStack 4.18.2.4 ou posterior.

Para as versões do Apache CloudStack 4.19.0.0 a 4.19.1.1, atualize para o Apache CloudStack 4.19.1.2 ou posterior.

Como alternativa, os usuários que não utilizam o recurso Quota podem desativar o plug-in definindo a configuração global quota.enable.service como false.

Correção

Improper Privilege Management

Missing Authorization

Enumeração de Fraquezas

CWE-269

CWE-862

Identificadores relacionados

CVE-2024-45461

Produtos afetados

Apache Cloudstack

Referências · 16

• https://shapeblue.com/shapeblue-security-advisory-apache-cloudstack-security-releases-4-18-2-4-and-4-19-1-2 · Nota
• https://twitter.com/oss_security/status/1846274796327510152 · Publicação no Twitter
• https://cloudstack.apache.org/blog/security-release-advisory-4.18.2.4-4.19.1.2 · Aviso do Fabricante, Correção
• https://lists.apache.org/thread/ktsfjcnj22x4kg49ctock3d9tq7jnvlo · Aviso do Fabricante
• https://t.me/cvenotify/98679 · Publicação no Telegram
• https://twitter.com/fofabot/status/1846761556182507619 · Publicação no Twitter
• https://t.me/cvenotify/111017 · Publicação no Telegram
• https://twitter.com/CloudStack/status/1846408705132142871 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-45461 · Nota de Segurança
• https://twitter.com/fletch_ai/status/1847185980098535480 · Publicação no Twitter
• https://twitter.com/shapeblue/status/1846410929375678754 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-45461 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/10/15/3 · Nota
• https://t.me/cvedetector/8033 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1846466399788511474 · Publicação no Twitter