🇰🇷 한글 설명
리소스 개수 확인 및 증가 로직 내의 다중 TOCTOU(Time-of-Check Time-of-Use) 레이스 컨디션과 검증 누락으로 인해 발생합니다. 공격자는 이를 이용해 계정 또는 도메인에 설정된 할당 제한을 초과할 수 있으며, 결과적으로 인프라 자원을 고갈시켜 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
시스템이 자원 사용량을 체크하는 찰나의 순간을 이용해 정해진 한도보다 더 많은 자원을 몰래 사용하는 취약점입니다. 이를 통해 서버의 자원을 모두 써버려 서비스가 멈추게 만들 수 있습니다.
🇺🇸 원문 (English)
Due to multiple time-of-check time-of-use race conditions in the resource count check and increment logic, as well as missing validations, users of the platform are able to exceed the allocation limits configured for their accounts/domains. This can be used by an attacker to degrade the infrastructure's resources and lead to denial of service conditions.
Users are recommended to upgrade to Apache CloudStack versions 4.20.3.0 or 4.22.0.1, or later, which fixes this issue.
📍 영향받는 시스템
Apache CloudStack 4.20.3.0 및 4.22.0.1 미만 버전
⚔️ 공격 벡터
리소스 할당 요청 시 발생하는 레이스 컨디션을 이용한 할당량 초과 공격
🛡️ 대응 방법
Apache CloudStack을 4.20.3.0 또는 4.22.0.1 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 결과에서 현재 설치된 Apache CloudStack의 버전을 확인하여 취약한 버전인지 대조합니다.
rpm -qa | grep cloudstack || dpkg -l | grep cloudstack
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
VMware Telco Cloud Infrastructure