Informazioni sul CVE-2024-45462
Apache CloudStack: Incomplete session invalidation on web interface logout
CWE ID: CWE-613
Base Score (CVSS): N/A
CVE: CVE-2024-45462
Descrizione: The logout operation in the CloudStack web interface does not expire the user session completely which is valid until expiry by time or restart of the backend service. An attacker that has access to a user’s browser can use an unexpired session to gain access to resources owned by the logged out user account. This issue affects Apache CloudStack from 4.15.1.0 through 4.18.2.3; and from 4.19.0.0 through 4.19.1.1. Users are recommended to upgrade to Apache CloudStack 4.18.2.4 or 4.19.1.2, or later, which addresses this issue.
Vettore di attacco CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: Accesso: Local, Privilegi: None, Interazione utente: Required, Confidenzialità: High, Integrità: High, Disponibilità: None.
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|---|---|---|
| Attack Vector (AV) | L | Local | L’attaccante deve avere accesso locale al sistema. |
| Attack Complexity (AC) | H | High | L’attacco richiede condizioni particolari o avanzate. |
| Privileges Required (PR) | N | None | Non sono richiesti privilegi. |
| User Interaction (UI) | R | Required | È richiesta l’interazione di un utente. |
| Scope (S) | U | Unchanged | Il raggio d’azione non cambia. |
| Confidentiality Impact (C) | H | High | Grave impatto sulla riservatezza. |
| Integrity Impact (I) | H | High | Grave impatto sull’integrità. |
| Availability Impact (A) | N | None | Nessun impatto sulla disponibilità. |
Riferimenti esterni
- https://cloudstack.apache.org/blog/security-release-advisory-4.18.2.4-4.19.1.2
- https://lists.apache.org/thread/ktsfjcnj22x4kg49ctock3d9tq7jnvlo
- https://cloudstack.apache.org/blog/security-release-advisory-4.18.2.4-4.19.1.2
Prodotti interessati
- Apache Software Foundation – Apache CloudStack
Relazioni con altri prodotti
Produttore:Apache Software Foundation
Prodotto: Apache CloudStack
Anno: 2024
CWE: CWE-613
CVSS: 0.0