Alvarleg öryggisrifa í LXD og MicroCloud gerir árásarnum kleift að blikra sem trauðum notendum
Gríðarstór öryggisrifa með einkunn 10.0 fannst í LXD og MicroCloud frá Canonical. Árásarmaður getur skrifað sig inn sem trauður notandi án þess að hafa einkalykilinn, ef hann hefur aðgang að opinbera skírteini viðkomandi.
Canonical hefur greint frá alvarlegri örygggisvöntun í LXD og MicroCloud verkfærum sínum. Gallinn gefur árásarmanni möguleika á að blikra sem trauður biðlari án þess að hafa einkalykilinn í eigu.
Til að nýta sér gallann þarf árásarmaður aðgang að HTTPS API kerfisins yfir netið og þarf að hafa aðgang að opinbera skírteini viðkomandi notanda. Þegar árásarmaður hefur komist inn getur hann starfað sem sá notandi og fengið fullan aðgang að klasanum og sýndarvélum hans.
Öryggisrifan hefur fengið einkunn 10.0 á CVSS-kvarðanum, sem gefur til kynna að um alvarlegasta tegund galla sé að ræða. Canonical hefur gefið út leiðbeiningar um úrbótir fyrir notendur sem nota viðkomandi hugbúnað.
Hvað þýðir þetta fyrir Ísland?
Íslensk fyrirtæki og stofnanir sem nota LXD eða MicroCloud fyrir gagnageymslu og sýndarumhverfi ættu að athuga hvort þau séu fyrir áhrifum og setja upp viðeigandi öryggisuppfærslur sem fyrst.
