یک آسیب‌پذیری بحرانی در ابزارهای LXD و MicroCloud شرکت Canonical کشف شده است که به مهاجمان اجازه می‌دهد بدون داشتن کلید خصوصی و به عنوان یک کاربر معتبر وارد سیستم شوند.
به گزارش The Hacker News، این نقص امنیتی به مهاجم اجازه می‌دهد از طریق شبکه به API پروتکل HTTPS دسترسی پیدا کرده و با استفاده از گواهی عمومی مشتری مورد اعتماد، هویت او را جعل کند. پس از نفوذ، مهاجم می‌تواند دقیقاً به عنوان همان کلاینت عمل کرده و به کلاستر و ماشین‌های مجازی آن دسترسی کامل پیدا کند.
شرکت Canonical جزئیات این نقص امنیتی را منتشر کرده است و مدیران سیستم باید برای جلوگیری از سوءاستفاده‌های احتمالی، زیرساخت خود را بررسی و به‌روزرسانی کنند. این آسیب‌پذیری دسترسی به شبکه و داشتن گواهی عمومی را به عنوان پیش‌نیاز برای حمله الزامی می‌کند.
نکات کلیدی این خبر
- کشف نقص امنیتی بحرانی با امتیاز CVSS 10.0 در ابزارهای LXD و MicroCloud شرکت Canonical.
- امکان ورود به عنوان کاربر معتبر بدون داشتن کلید خصوصی و تنها با استفاده از گواهی عمومی.
- نیاز به دسترسی به شبکه و API با پروتکل HTTPS برای انجام حمله.
- دسترسی مهاجم به کلاستر و ماشین‌های مجازی پس از موفقیت در جعل هویت.
این خبر برای شما چه معنایی دارد؟
مدیران سیستمی که از ابزارهای LXD یا MicroCloud شرکت Canonical استفاده می‌کنند، باید دسترسی به APIهای HTTPS را از طریق شبکه محدود کنند و برای اعمال اصلاحات امنیتی و به‌روزرسانی سریع برنامه‌ریزی نمایند تا از خطر دسترسی غیرمجاز به ماشین‌های مجازی جلوگیری شود.
منبع خبر
The Hacker News
— CVSS 10.0 LXD, MicroCloud Flaw Lets Attackers Impersonate Trusted Clients Without a Private Key
انتشار در منبع:
این خبر را تحریریه‌ی مهران هاست بر پایه‌ی گزارش منبع بالا به فارسی نوشته است؛ جزئیات کامل و به‌روزرسانی‌های بعدی را در منبع اصلی ببینید.
