Slováci odhalili kritickú chybu: Známy softvér svetovej cloudovej firmy sa dal ľahko hacknúť
Predplatné PREMIUM na mesiac ZDARMA.
Slovákom zo spoločnosti Citadelo sa podarilo odhaliť závažnú zraniteľnosť v produkte VMWare Cloud Director, ktorá im umožní získať plnú kontrolu nad infraštruktúrou cloudového poskytovateľa.
Spoločnosť Citadelo pôsobiaca na Slovensku prostredníctvom mailu od Tomáša Zaťka upozornila redakciu FonTech.sk na svoj blog, ktorý popisuje závažnú zraniteľnosť v produkte VMWare Cloud Director. Slovenská firma už stihla o probléme informovať aj samotný VMWare.
Chyba, ktorá ohrozuje firmy využívajúce špecifický produkt VMWare
CEO Citadelo, Tomáš Zaťko, s ktorým sme sa už v minulosti rozprávali o aj kybernetickej bezpečnosti na Slovensku, v blogu uviedol, že odhalená zraniteľnosť umožní útočníkovi získať plnú kontrolu nad infraštruktúrou cloudového poskytovateľa, ktorý využíva produkt VMWare Cloud Director. Samotná zraniteľnosť má pritom hodnotenie závažnosti 8,8/10.
Vo videu uvedenom vyššie popisuje chybu etický hacker Tomáš Melicher, ktorý je zároveň autorom tejto zraniteľnosti. Typ útoku je známy ako code injection a pomocou neho dokáže útočník zneužiť chybu overenia vstupu v danom zabezpečení softvéru, pričom je schopný okamžite zaviesť škodlivý kód. V prvom kroku do testovacieho servera odoslal vstup vo formáte XML, pričom na ňom dokázal spustiť jednoduchú aritmetickú operáciu.
Úpravou kódu však vytiahol zo servera informácie o aktuálne prihlásenom používateľovi. V tomto momente môže potencionálny útočník vykonávať príkazy na úrovni operačného systému samotného cloudového poskytovateľa, vďaka čomu viacerými spôsobmi dokáže získať prístup k cudzím cloudom. Napríklad pomocou jednoduchého skriptu vie zmeniť heslo systémovému administrátorovi.
Ide tak o naozaj závažnú zraniteľnosť, ktorá umožní útočníkovi získať prístup ku všetkým cloudom spravovaným systémovým administrátorom a vážne tak ohroziť dáta spoločností a virtuálne stanice.
Chyba bola oznámená spoločnosti VMWare už 1. apríla 2020. Tá stihla vydať bezpečnostnú záplatu opravujúcu zraniteľnosť do konca rovnakého mesiaca, na čo bolo v zápätí zraniteľnosti oficiálne pridelené označenie identifikátorom CVE-2020-3956. Celkový priebeh odhalenia chyby až po jej opravu a zverejnenie môžeš vidieť na prehľadnej časovej osi:
- 1. apríla 2020 – Úvodný report chyby zaslaný spoločnosti VMware.
- 3. apríla 2020 – Úspešná reprodukcia chyby spoločnosťou VMware
- 30. apríla 2020 – Vydanie opráv pre riešenia vCloud Director 9.7.0.5 a 10.0.0.2
- 13. mája 2020 – Pridelené označenie zraniteľnosti CVE-2020-3956
- 19. mája 2020 – Vydanie opráv pre riešenia vCloud Director 9.1.0.4 a 9.5.0.
- 19. mája 2020 – Zverejnené bezpečnostné odporúčanie VMSA-2020-0010
- 2. júna 2020 – Zverejnenie informácií o zraniteľnosti na blogu spoločnosti
Pre podrobnejší a detailnejší popis zraniteľnosti odporúčame navštíviť blog spoločnosti Citadelo dostupný v anglickom jazyku.
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Aktuálne: Hymna každý deň a lavína reklám. Vláda práve zrušila RTVS
Tvoje obľúbené filmy a seriály sú podvrh. Za všetkými stojí Severná Kórea
Okamžite si skontroluj účet. Známa aplikácia Slovákom strháva desiatky eur
PREMIUM TÝŽDŇA Slováci zase naleteli. Slávnu appku okamžite vymaž, kradnú ti cez ňu heslá aj peniaze
Ľudia prosia, aby ju zrušili. YouTube dostal historicky najhoršiu aktualizáciu
- 24 hod
- 48 hod
- 7 dní
-
- Najbrutálnejší slovenský film si čoskoro pozrieš online. V špeciálnej edícii bude len na jednom mieste
- Efektivitou preráža strop. NASA postavila revolučný motor
- Budeš sa báť zaspať: Prichádza nálož hororov, aká tu už roky nebola. Tieto sú najlepšie
- Totálny bizár: V tomto štáte vyrobia toľko elektriny, že ju predávajú za negatívne ceny
- Telekom predstavil novinku, aká tu ešte nebola. Náramne poteší jednu skupinu Slovákov
-
- Najbrutálnejší slovenský film si čoskoro pozrieš online. V špeciálnej edícii bude len na jednom mieste
- Telekom predstavil novinku, aká tu ešte nebola. Náramne poteší jednu skupinu Slovákov
- Totálny bizár: V tomto štáte vyrobia toľko elektriny, že ju predávajú za negatívne ceny
- Netflix konečne ukázal svojho Terminátora. Od tohto napínavého sci-fi sa neodlepíš
- Slováci už nikdy nemusia strácať čas. Vyskúšali sme prelomovú AI, práca s PC nikdy nebola lepšia
-
- Slováci zase naleteli. Slávnu appku okamžite vymaž, kradnú ti cez ňu heslá aj peniaze
- Vedcom padla sánka. V slnečnej sústave našli tajomný objekt
- Okamžite si skontroluj účet. Známa aplikácia Slovákom strháva desiatky eur
- Telekom predstavil novinku, aká tu ešte nebola. Náramne poteší jednu skupinu Slovákov
- Revolučná misia NASA dostala zelenú. Záhadný objekt blízko Zeme preskúma vesmírne lietadlo
Podiel žien v IT na Slovensku za európskym priemerom zaostáva
Airbus zaznamenal nárasť čistého zisku o viac ako štvrtinu
Od výbuchu v atómovej elektrárni v Černobyle uplynie 38 rokov
Trojčlenná misia Šen-čou-18 odštartovala k vesmírnej stanici Tchien-kung
Hry sa budú hrať samé. Známa značka chystá úplnú absurdnosť
Copyright© 2024 by Startitup, s. r. o. Všetky práva vyhradené