登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202211/1715081_30003_0.htm

Apache CloudStack XML外部实体（XXE）注入漏洞通告

【发布时间：2022-11-02】

1. 漏洞综述

1.1 漏洞背景

CloudStack是一个开源的具有高可用性及扩展性的云计算平台，可以快速的通过现存基础架构创建云服务，加速高伸缩的公共和私有云的部署、管理、配置。近日，新华三攻防实验室威胁预警团队监测到Apache 官方发布安全公告，修复了一个存在于Apache CloudStack中的XML外部实体（XXE）注入漏洞。Apache CloudStack 4.5.0及更高版本具有SAML 2.0身份验证服务提供程序插件，该插件被发现容易受到XML外部实体(XXE)注入的攻击，建议用户更新到最新的安全版本避免遭受攻击。

1.2 漏洞原理

Apache CloudStack在默认情况下未启用SAML 2.0身份验证服务提供程序插件，恶意攻击者需要启用此插件才能利用漏洞。在启用插件时，可能会允许利用XXE漏洞，恶意攻击者通过利用此漏洞可以对CloudStack管理服务器进行任意文件读取、造成拒绝服务或执行服务器端请求伪造（SSRF）攻击。

2. 影响范围

l Apache CloudStack-Apache 4.5.0

l Apache CloudStack-Apache 4.16.1.0

l Apache CloudStack-Apache 4.17.0.0

3. 严重等级

严重

4. 处置方法

4.1 官方补丁

目前官方已发布安全版本（4.16.1.1、4.17.0.1或更高版本），受影响用户可升级至安全版本，官方链接：http://download.cloudstack.org/

4.2 临时防护方案

将“saml2.enabled”设置为false和禁用SAML2.0插件并重新启动管理服务器。

5. 参考链接

https://www.openwall.com/lists/oss-security/2022/07/18/2

https ://lists.apache.org/thread/hwhxvtwp1d5dsm156bsf1cnyvtmrfv3f

https://www.redpacketsecurity.com/apache-cloudstack-xml-external-entity-cve-2022-35741/

新华三官网
联系我们