PT-2024-31729 · Apache · Apache Cloudstack

Arthur Souza + 1 · Publicado 2024-10-15 · Atualizado 2024-10-21 · CVE-2024-45693

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

Versões do Apache CloudStack de 4.15.1.0 a 4.18.2.3

Versões do Apache CloudStack de 4.19.0.0 a 4.19.1.1

Descrição:

A vulnerabilidade permite que invasores induzam usuários conectados à interface web do Apache CloudStack a enviar solicitações CSRF maliciosas devido à falta de validação da origem das solicitações. Isso pode levar à apropriação de contas, interrupção do serviço, exposição de dados confidenciais e comprometimento da integridade dos recursos pertencentes à conta de usuário gerenciada pela plataforma.

Recomendações:

Para as versões do Apache CloudStack 4.15.1.0 a 4.18.2.3, atualize para o Apache CloudStack 4.18.2.4 ou posterior.

Para as versões do Apache CloudStack 4.19.0.0 a 4.19.1.1, atualize para o Apache CloudStack 4.19.1.2 ou posterior.

Como solução alternativa temporária, considere restringir o acesso à interface web para minimizar o risco de exploração.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2024-45693

Produtos afetados

Apache Cloudstack

Referências · 17

• https://twitter.com/pravin_karthik/status/1846832905550811453 · Publicação no Twitter
• https://lists.apache.org/thread/ktsfjcnj22x4kg49ctock3d9tq7jnvlo · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1846466402099593533 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/1338 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-45693 · Aviso do Fabricante
• https://twitter.com/fofabot/status/1846761556182507619 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/10/15/5 · Nota
• https://twitter.com/CloudStack/status/1846408705132142871 · Publicação no Twitter
• https://twitter.com/cracbot/status/1848242920060866582 · Publicação no Twitter
• https://twitter.com/oss_security/status/1846274798785384864 · Publicação no Twitter
• https://twitter.com/fletch_ai/status/1847185980098535480 · Publicação no Twitter
• https://twitter.com/shapeblue/status/1846410929375678754 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-45693 · Nota de Segurança
• https://cloudstack.apache.org/blog/security-release-advisory-4.18.2.4-4.19.1.2 · Correção, Aviso do Fabricante
• https://t.me/cvedetector/8026 · Publicação no Telegram