Canonical LXD və MicroCloud-da CVSS 10.0 Kritik Zəiflik: Hücumçular Şəxsi Açar Olmadan Kimlik Saxtalaşdıra Bilər

Canonical LXD və MicroCloud-da CVSS 10.0 Kritik Zəiflik Aşkarlanıb

Kibertəhlükəsizlik mütəxəssisləri Canonical şirkətinin LXD və MicroCloud proqram təminatlarında ciddi təhlükəsizlik boşluğu aşkarlayıblar. Bu kritik zəiflik (CVSS skoru 10.0) hücumçulara etibarlı müştərilərin şəxsi açarına sahib olmadan onların kimliyini saxtalaşdırmağa imkan verir ki, bu da sistemlərə tam nəzarət əldə edilməsi ilə nəticələnə bilər.

Zəifliyin Mexanizmi və Potensial Təsiri

Aşkarlanan boşluqdan istifadə etmək üçün təcavüzkarın şəbəkə üzərindən hədəf sistemin HTTPS API-sinə çıxışı olmalı və etibarlı müştərinin publik sertifikatına sahib olması tələb olunur. Bu şərtlər yerinə yetirildikdə, hücumçu özünü etibarlı müştəri kimi təqdim edərək sistemə daxil ola bilir. Sistemin içərisinə daxil olduqdan sonra, saxtalaşdırılmış hesabın səlahiyyətləri ilə klasterə və onun daxilindəki bütün virtual maşınlara tam çıxış əldə edilir. Bu, hədəf infrastruktura böyük zərər vurmaq potensialına malikdir.

Təhlükəsizlik Tövsiyələri

Canonical tərəfindən dəstəklənən LXD və MicroCloud istifadə edən təşkilatlar bu zəifliyin yaratdığı riskləri minimuma endirmək üçün təcili tədbirlər görməlidirlər. İlk növbədə, müvafiq təhlükəsizlik yeniləmələrinin dərhal tətbiq edilməsi vacibdir. Bundan əlavə, HTTPS API-lərə daxilolma nəzarətləri gücləndirilməli və şəbəkə seqmentasiyası tətbiq edilərək hədəf sistemlərə icazəsiz giriş cəhdləri çətinləşdirilməlidir. Mütəmadi təhlükəsizlik yoxlamaları və log monitorinqi də potensial hücum cəhdlərini erkən aşkar etməyə kömək edəcəkdir.