Vulnerabilidad en Apache CloudStack (CVE-2024-50386)

De manera predeterminada, los usuarios de cuentas en Apache CloudStack pueden registrar plantillas para que se descarguen directamente al almacenamiento principal para implementar instancias. Debido a que faltan comprobaciones de validación para las plantillas compatibles con KVM en CloudStack 4.0.0 a 4.18.2.4 y 4.19.0.0 a 4.19.1.2, un atacante que pueda registrar plantillas puede usarlas para implementar instancias maliciosas en entornos basados en KVM y aprovechar esto para obtener acceso a los sistemas de archivos del host, lo que podría provocar la vulneración de la integridad y la confidencialidad de los recursos, la pérdida de datos, la denegación de servicio y la disponibilidad de la infraestructura basada en KVM administrada por CloudStack. Se recomienda a los usuarios que actualicen a Apache CloudStack 4.18.2.5 o 4.19.1.3, o una versión posterior, que soluciona este problema. Además, se pueden escanear todas las plantillas compatibles con KVM registradas por el usuario y verificar que sean archivos planos que no deberían utilizar funciones adicionales o innecesarias. Por ejemplo, los operadores pueden ejecutar el siguiente comando en sus almacenamientos primarios basados en archivos e inspeccionar la salida. Una salida vacía para el disco que se está validando significa que no tiene referencias a los sistemas de archivos del host; por otro lado, si la salida para el disco que se está validando no está vacía, podría indicar un disco comprometido. Sin embargo, tenga en cuenta que (i) los volúmenes creados a partir de plantillas tendrán referencias para las plantillas al principio y (ii) los volúmenes se pueden consolidar durante la migración, perdiendo sus referencias a las plantillas. Por lo tanto, la ejecución del comando para los almacenamientos primarios puede mostrar falsos positivos y falsos negativos. for file in $(find /path/to/storage/ -type f -regex [a-f0-9\-]*.*); do echo "Recuperando información del archivo [$file]. Si la salida no está vacía, eso podría indicar un disco comprometido; verifíquelo cuidadosamente."; qemu-img info -U $file | grep file: ; printf "\n\n"; hecho Para verificar todas las características de la plantilla/volumen de cada disco, los operadores pueden ejecutar el siguiente comando: for file in $(find /path/to/storage/ -type f -regex [a-f0-9\-]*.*); do echo "Recuperando información del archivo [$file]."; qemu-img info -U $file; printf "\n\n"; hecho