CVE-2024-29006

Apache CloudStack: authentication bypass przez manipulację nagłówkiem x-forwarded-for

CVSS 9.8v3.1pub. 2024-04-04upd. 2025-03-27

Apache CloudStack domyślnie ufa nagłówkowi HTTP x-forwarded-for i traktuje go jako źródłowy adres IP żądania API. Atakujący może sfałszować ten nagłówek, aby obejść mechanizmy uwierzytelniania oparte na adresie IP, co stanowi krytyczne zagrożenie dla bezpieczeństwa platformy chmurowej.

▸ Pokaż oryginał (EN)

By default the CloudStack management server honours the x-forwarded-for HTTP header and logs it as the source IP of an API request. This could lead to authentication bypass and other operational problems should an attacker decide to spoof their IP address this way. Users are recommended to upgrade to CloudStack version 4.18.1.1 or 4.19.0.1, which fixes this issue.

🤖 Analiza AI

Jak działa

Serwer zarządzający CloudStack odczytuje nagłówek x-forwarded-for z przychodzących żądań HTTP i rejestruje go jako rzeczywisty adres źródłowy klienta. Atakujący może przesłać dowolną wartość w tym nagłówku, podszywając się pod zaufany adres IP. Mechanizm ten klasyfikowany jest jako CWE-290 (Authentication Bypass by Spoofing), ponieważ system nie weryfikuje autentyczności podanego adresu. W efekcie kontrole dostępu oparte na adresie IP mogą zostać skutecznie ominięte.

Skutki

Atakujący może ominąć uwierzytelnianie i kontrolę dostępu opartą na adresie IP, uzyskując nieautoryzowany dostęp do API zarządzającego CloudStack. Może to prowadzić do pełnego przejęcia kontroli nad infrastrukturą chmurową, w tym odczytu, modyfikacji i zniszczenia danych oraz zasobów.

Mitygacja

Należy zaktualizować Apache CloudStack do wersji 4.18.1.1 lub 4.19.0.1, które eliminują opisaną podatność. Jako dodatkowe zabezpieczenie warto ograniczyć dostęp do API zarządzającego wyłącznie do zaufanych sieci na poziomie firewall.