Apache CloudStack请求来源验证绕过漏洞

漏洞描述

Apache CloudStack 是一个开源的云计算管理平台，允许用户创建、管理和部署大规模虚拟化基础设施。

在受影响的版本中，系统未能有效验证请求的来源，导致攻击者能够诱导已认证用户提交恶意的CSRF请求。这种攻击方式可能导致用户账户被接管、服务中断、敏感数据泄露等安全隐患。

修复版本中，通过新增cookiePathRewrite参数确保cookie在正确的路径下可用，以修复漏洞。

漏洞名称	Apache CloudStack请求来源验证绕过漏洞
漏洞类型	CSRF
发现时间	2024-10-16
漏洞影响广度	-
MPS编号	MPS-0vjz-53or
CVE编号	CVE-2024-45693
CNVD编号	-

影响范围

cloudstack@[4.15.1.0, 4.18.2.4)

cloudstack@[4.19.0.0, 4.19.1.2)

修复方案

将组件 cloudstack 升级至 4.18.2.4 及以上版本

将组件 cloudstack 升级至 4.19.1.2 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-0vjz-53or

https://cloudstack.apache.org/blog/security-release-advisory-4.18.2.4-4.19.1.2/

https://nvd.nist.gov/vuln/detail/CVE-2024-45693

https://github.com/apache/cloudstack/commit/b3f9824be1efffd12ca648748dc59e37f2a0e60f#diff-71cbcf5aeff7a2a23bef9a05351100a1dbba55663c310a654d1df3befa44a7bdR147

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc