Slováci odhalili kritickú chybu: Známy softvér svetovej cloudovej firmy sa dal ľahko hacknúť
Slovákom zo spoločnosti Citadelo sa podarilo odhaliť závažnú zraniteľnosť v produkte VMWare Cloud Director, ktorá im umožní získať plnú kontrolu nad infraštruktúrou cloudového poskytovateľa.
Spoločnosť Citadelo pôsobiaca na Slovensku prostredníctvom mailu od Tomáša Zaťka upozornila redakciu FonTech.sk na svoj blog, ktorý popisuje závažnú zraniteľnosť v produkte VMWare Cloud Director. Slovenská firma už stihla o probléme informovať aj samotný VMWare.
Chyba, ktorá ohrozuje firmy využívajúce špecifický produkt VMWare
CEO Citadelo, Tomáš Zaťko, s ktorým sme sa už v minulosti rozprávali o aj kybernetickej bezpečnosti na Slovensku, v blogu uviedol, že odhalená zraniteľnosť umožní útočníkovi získať plnú kontrolu nad infraštruktúrou cloudového poskytovateľa, ktorý využíva produkt VMWare Cloud Director. Samotná zraniteľnosť má pritom hodnotenie závažnosti 8,8/10.
Vo videu uvedenom vyššie popisuje chybu etický hacker Tomáš Melicher, ktorý je zároveň autorom tejto zraniteľnosti. Typ útoku je známy ako code injection a pomocou neho dokáže útočník zneužiť chybu overenia vstupu v danom zabezpečení softvéru, pričom je schopný okamžite zaviesť škodlivý kód. V prvom kroku do testovacieho servera odoslal vstup vo formáte XML, pričom na ňom dokázal spustiť jednoduchú aritmetickú operáciu.
Úpravou kódu však vytiahol zo servera informácie o aktuálne prihlásenom používateľovi. V tomto momente môže potencionálny útočník vykonávať príkazy na úrovni operačného systému samotného cloudového poskytovateľa, vďaka čomu viacerými spôsobmi dokáže získať prístup k cudzím cloudom. Napríklad pomocou jednoduchého skriptu vie zmeniť heslo systémovému administrátorovi.
Ide tak o naozaj závažnú zraniteľnosť, ktorá umožní útočníkovi získať prístup ku všetkým cloudom spravovaným systémovým administrátorom a vážne tak ohroziť dáta spoločností a virtuálne stanice.
Chyba bola oznámená spoločnosti VMWare už 1. apríla 2020. Tá stihla vydať bezpečnostnú záplatu opravujúcu zraniteľnosť do konca rovnakého mesiaca, na čo bolo v zápätí zraniteľnosti oficiálne pridelené označenie identifikátorom CVE-2020-3956. Celkový priebeh odhalenia chyby až po jej opravu a zverejnenie môžeš vidieť na prehľadnej časovej osi:
- 1. apríla 2020 – Úvodný report chyby zaslaný spoločnosti VMware.
- 3. apríla 2020 – Úspešná reprodukcia chyby spoločnosťou VMware
- 30. apríla 2020 – Vydanie opráv pre riešenia vCloud Director 9.7.0.5 a 10.0.0.2
- 13. mája 2020 – Pridelené označenie zraniteľnosti CVE-2020-3956
- 19. mája 2020 – Vydanie opráv pre riešenia vCloud Director 9.1.0.4 a 9.5.0.
- 19. mája 2020 – Zverejnené bezpečnostné odporúčanie VMSA-2020-0010
- 2. júna 2020 – Zverejnenie informácií o zraniteľnosti na blogu spoločnosti
Pre podrobnejší a detailnejší popis zraniteľnosti odporúčame navštíviť blog spoločnosti Citadelo dostupný v anglickom jazyku.
Čítajte viac z kategórie: Cyber
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Apple technológia, ktorá mala len hľadať stratené telefóny, spustila najväčšiu policajnú raziu v histórii krajiny
Nedá sa heknúť a chce ho aj Čína. USA začali testovať kvantový internet budúcnosti
Konferencia Junior Security Summit ukázala študentom cestu k uplatneniu
Slováci ho nepoznajú. Tento jednoduchý AI trik ti ušetrí hodiny práce (NÁVOD)
Výrobcovia sa smejú Slovákom. Do mobilov zabudovali vec, ktorá im zarába miliardy na tvoj úkor
NAJČÍTANEJŠIE ZO STARTITUP
8 z 10 Slovákov stroskotá na druhej otázke. Dokáž, že máš všeobecný prehľad na jednotku (KVÍZ)
Kórejská pochúťka dobýva svet: Podporuje črevnú rovnováhu a znižuje riziko rakoviny hrubého čreva
Taylor Swift odhalila tajomstvo svojho stravovania. Jej prístup predbehol dobu o 15 rokov
Sú prví na svete. Známa letecká spoločnosť spúšťa novinku, ktorá poteší všetkých
Zabudni na drahé vitamíny: Toto je 7 superpotravín za pár centov, ktoré posilnia tvoju imunitu aj srdce
- 24 hod
- 48 hod
- 7 dní
-
- Európu postihla tichá kríza, akú ešte nezažila. Vedci varujú pred stratou kľúčového prvku prežitia
- Ohromne zbohatnú a spasia Európu. Blízko Slovenska našli obrovské ložisko ropy a plynu
- Čína chystá inváziu, varujú experti. Dolaďuje „víťazný plán“, ktorým paralyzuje kľúčový ostrov v Ázii
- Jedna z najúspešnejších filmových sérií je späť. Zarobila viac než miliardu dolárov, vracajú sa aj hlavné hviezdy
- Náš vesmír vznikol v počítači vyspelej civilizácie, simulácii života verí aj Elon Musk
-
- Ohromne zbohatnú a spasia Európu. Blízko Slovenska našli obrovské ložisko ropy a plynu
- Američania ohúrili svet. Z opačného konca planéty vypustili jadrovú raketu, trafila cieľ na meter presne
- Európu postihla tichá kríza, akú ešte nezažila. Vedci varujú pred stratou kľúčového prvku prežitia
- Náš vesmír vznikol v počítači vyspelej civilizácie, simulácii života verí aj Elon Musk
- Zostrelili UFO a kruto za to zaplatili. 23 sovietskych vojakov podľa CIA postihol desivý osud
-
- Ohromne zbohatnú a spasia Európu. Blízko Slovenska našli obrovské ložisko ropy a plynu
- Nikto niečo podobné neskúsil. Čína nechala vybuchnúť tri jadrové bomby za sebou, výsledky sú znepokojivé
- Zmeny v STK zaskočili Slovákov. Vysoké pokuty hrozia aj tým, ktorí auto už nemajú (PREHĽAD)
- Američania ohúrili svet. Z opačného konca planéty vypustili jadrovú raketu, trafila cieľ na meter presne
- Toto už nie je len dron. Najväčšia zbrojovka sveta ukázala zbraň budúcnosti, ktorá zmení vojny
Toto nemá ešte nikto. Kia spúšťa technológiu, ktorá ukáže pravdu o batérii EV v reálnom čase
Má vraj extrémny dolet. KĽDR predstavila najvýkonnejší jadrový zbraňový systém, aký kedy vyvinula
Umelá inteligencia ukazuje svoju temnú stránku. Firmy chceli ušetriť, namiesto toho zaplatili tvrdú daň
Podvodník ho prevedčil po 5 hodinách hovoru: Slovák prišiel o 55 000 eur, zavolal mu falošný policajt
Musk prekvapil Európu: Tesla predstavila novú verziu za cenu, ktorú nik nečakal
NAJČÍTANEJŠIE ZO STARTITUP