В системе виртуализации LXD и платформе MicroCloud, разработанных компанией Canonical, была обнаружена критическая уязвимость, позволяющая злоумышленникам войти в систему под учетной записью доверенного клиента, не обладая его приватным ключом. Для успешной эксплуатации уязвимости атакующий должен был получить доступ к HTTPS API через сеть и иметь публичный сертификат доверенного клиента.

После успешного входа в систему злоумышленник мог действовать от имени данного клиента, получая доступ к кластеру и его виртуальным машинам. Это создает серьезные риски для безопасности, так как злоумышленник может выполнять любые действия, которые доступны под учетной записью доверенного клиента.

Уязвимость получила максимальный балл по шкале CVSS — 10.0, что указывает на ее критическую опасность. Специалисты по безопасности настоятельно рекомендуют пользователям LXD и MicroCloud обновить свои системы до последних версий, в которых данная уязвимость была устранена.

Canonical уже выпустила патчи для исправления уязвимости и призвала всех пользователей незамедлительно обновить свои установки. Кроме того, рекомендуется провести аудит безопасности систем, чтобы выявить возможные следы эксплуатации данной уязвимости.

Эксперты отмечают, что подобные уязвимости подчеркивают важность защиты сетевых коммуникаций и использования надежных методов аутентификации. В условиях растущих киберугроз предприятиям следует уделять особое внимание безопасности своих облачных и виртуализированных сред.

Источник новости:
The Hacker News

Читать полностью