CVE-2024-40767: OpenStack Nova Vulnerability Exposes Cloud Servers to Data Theft Risk
2024/07/25 SecurityOnline — クラウド・コンピューティング・プラットフォームの、仮想サーバー管理用コア・コンポーネント OpenStack Novaに 深刻な脆弱性 CVE-2024-40767 が発見された。この脆弱性の悪用に成功した権限のないユーザーが、クラウド・サーバ上の機密データにアクセスする可能性が生じ、同プラットフォームを利用する組織にとって重大なリスクとなり得る。
脆弱性の詳細
この脆弱性 CVE-2024-40767 が発生した理由は、以前の脆弱性 CVE-2022-47951／CVE-2024-32498 に対する修正が不完全であったことにある。QCOW2 または VMDK フォーマットで特別に細工されたディスク・イメージを送信することで、この脆弱性の悪用が攻撃者に許されてしまう。これらのイメージは、Nova を騙してサーバ上の任意のファイルの内容を返すため、機密情報が暴露される可能性が生じる。
この重大なセキュリティ問題は、OVH の Arnaud Morin により報告された。
影響を受けるバージョン
脆弱性 CVE-2024-40767 は、Nova のバージョン27.4.1／28.2.1／29.1.1 以前に影響を及ぼす。旧バージョンの Nova を使用している組織に強く推奨されるのは、クラウド・インフラを保護するために、直ちにアップグレードすることだ。
影響と緩和策
この脆弱性を悪用するには認証が必要となるが、その潜在的な影響は深刻である。サーバ・ファイルへの不正アクセスは、データ漏洩／知的財産の盗難に加えて、システムの完全な侵害につながる可能性を生じる。すでに OpenStack は、この問題に対処するためのパッチをリリースしており、管理者が優先すべきことは、可能な限り早急に、これらのアップデートを適用することである。
その他の懸念事項
管理者にとって必要なことは、パッチの適用だけではない。このパッチを適用した後であっても、すでに悪意のイメージが、Nova のキャッシュに存在している可能性について注意しなければならない。
現時点において、それらのイメージを特定／削除するための、明確なガイダンスは存在しない。管理者は、上記の目的のために、パッチ未適用バージョンの “qemu-img” ツールを使用してはならない。なぜなら、QEMU の脆弱性 CVE-2024-4467 が、悪用される可能性があるからだ。
以前の脆弱性される CVE-2022-47951／CVE-2024-32498 ですが、後者については 2024/07/03 の「OpenStack の脆弱性 CVE-2024-32498 が FIX：機密データへの不正アクセスに繋がる恐れ」を、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.