Summary
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Apache CloudStack ausnutzen, um die Authentifizierung zu umgehen, vertrauliche Informationen offenzulegen oder seine Privilegien zu erweitern und so die Kontrolle über das System zu übernehmen.
Product
Apache CloudStack ist eine Sofwareplattform zum Verwalten großer Netzwerke von virtuellen Maschienen als eine hoch verfügbare, hoch skalierbare Infrastructure as a Service (IaaS) Cloud Computing Plattform. CloudStack wurde von Citrix entwicklet und anschließend über Apache als Open Source Software zur Verfügung gestellt.
Vulnerabilities 3
-
Critical 9.8
Apache CloudStack: x-forwarded-for HTTP header parsed by default
By default the CloudStack management server honours the x-forwarded-for HTTP header and logs it as the source IP of an API request. This could lead to authentication bypass and other operational problems should an attacker decide to spoof their IP address thi…
-
High 7.3
Apache CloudStack: When downloading templates or ISOs, the management server and SSVM follow HTTP redirects with potentially dangerous consequences
The CloudStack management server and secondary storage VM could be tricked into making requests to restricted or random resources by means of following 301 HTTP redirects presented by external servers when downloading templates or ISOs. Users are recommended …
-
Medium 6.4
Apache CloudStack: The extraconfig feature can be abused to load hypervisor resources on a VM instance
A problem has been identified in the CloudStack additional VM configuration (extraconfig) feature which can be misused by anyone who has privilege to deploy a VM instance or configure settings of an already deployed VM instance, to configure additional VM con…
Revision history
-
#2
Produktzuordnung überprüft
-
#1
Initiale Fassung
References
-
Apache CloudStack Security Releases 4.18.1.1 and 4.19.0.1 vom 2024-04-04
https://cloudstack.apache.org/blog/security-release-advisory-4.19.0.1-4.18.1.1/