「Apache CloudStack」に「クリティカル」の脆弱性 - 更新やキーの再生成を

クラウドコンピューティングプラットフォーム「Apache CloudStack」の開発チームは、現地時間8月6日に深刻な脆弱性へ対処したアップデートをリリースした。

「CVE-2024-42062」は、アクセス権限の検証不備に起因し、root管理者を含む全登録ユーザーの「APIキー」や「シークレットキー」をドメイン管理者アカウントが参照できる脆弱性。

脆弱性を悪用されると、管理者を含むアカウント権限を奪われ、データの漏洩、損失、サービス拒否などが生じるおそれがある。

テナントの分離が侵害され、ネットワークの詳細、構成、データなどへのアクセスが可能となる「CVE-2024-42222」が判明した。

開発チームでは、これら脆弱性のいずれも重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

脆弱性を解消した「同4.19.1.1」「同4.18.2.3」を提供しており、アップデートを呼びかけるとともに、既存ユーザーのキーをすべて再生成することを推奨している。

（Security NEXT - 2024/08/16 ）ツイート