Falta de autorización en OpenNebula de OpenNebula Systems

Se ha re­por­ta­do y coor­di­na­do la pu­bli­ca­ción de un fallo de se­gu­ri­dad de nivel alto que im­pac­ta a la pla­ta­for­ma de ges­tión de datos vir­tua­li­za­dos de­sa­rro­lla­da por Open­Ne­bu­la Sys­tems. Este pro­ble­ma fue de­tec­ta­do por Yongh­wa Lee y Xint, ambos per­te­ne­cien­tes a Theo­ri, y está re­la­cio­na­do con la ver­sión 7.4 del soft­wa­re.

El fallo ha sido re­gis­tra­do ofi­cial­men­te con un có­di­go es­pe­cí­fi­co, una de­ter­mi­na­da pun­tua­ción base CVSS v4.0, su res­pec­ti­vo vec­tor y una cla­si­fi­ca­ción de tipo CWE. Es­pe­cí­fi­ca­men­te, se trata de una de­fi­cien­cia en el con­trol de ac­ce­so que im­pac­ta a todas las edi­cio­nes an­te­rio­res a la men­cio­na­da ver­sión 7.4.

La falla po­si­bi­li­ta que un usua­rio que cuen­te con au­ten­ti­ca­ción y pri­vi­le­gios mí­ni­mos eje­cu­te co­man­dos en las má­qui­nas vir­tua­les de otros usua­rios a tra­vés de la fun­ción one.vm.exec, de­bi­do a la au­sen­cia de una ve­ri­fi­ca­ción co­rrec­ta de los per­mi­sos. Para lle­var a cabo la ex­plo­ta­ción, el ata­can­te solo ne­ce­si­ta co­no­cer el iden­ti­fi­ca­dor de la má­qui­na vir­tual y ase­gu­rar­se de que tenga qemu-agent ac­ti­va­do, lo que pone en ries­go la con­fi­den­cia­li­dad, la in­te­gri­dad y la dis­po­ni­bi­li­dad de los sis­te­mas afec­ta­dos. La so­lu­ción re­co­men­da­da para mi­ti­gar este pro­ble­ma es ac­tua­li­zar a la ver­sión 7.4.