Поделиться
Positive Research обнаружил множественные уязвимости в Citrix XenServer
Эксперты исследовательского центра Positive Research обнаружили и помогли устранить множественные уязвимости в Citrix XenServer. Представленные исследовательским центром отчеты содержат описание более десятка уязвимостей различных уровней риска.
Одна из уязвимостей является, по мнению экспертов, критической и позволяет в ряде случаев получить доступ к паролю суперпользователя системы и полный контроль над виртуальной инфраструктурой. Остальные уязвимости были найдены в управляющем веб-интерфейсе двух приложений Citrix XenServer: Web Self Service и vSwitch Controller.
Среди обнаруженных в Citrix XenServer уязвимостей: межсайтовое выполнение сценариев (Stored XSS) в Citrix License Administration Console; межсайтовая подмена запроса в Citrix License Administration Console; отказ в обслуживании в Citrix XenServer Workload Balancer; уязвимость при перенаправлении URL в Citrix XenServer Virtual Switch Controller; расщепление HTTP-запроса в Citrix XenServer Virtual Switch Controller; недостаточная проверка авторизации в Citrix XenServer Virtual Switch Controller; межсайтовая подмена запроса в Citrix XenServer Virtual Switch Controller.
Отметим, что Citrix XenServer — это продукт линейки Citrix Delivery Center, предназначенный для виртуализации серверов и организации работы динамических ЦОД, а Web Self Service — портал самообслуживания для пользователей виртуальных машин, которые работают с привилегиями, определенными администратором. Указанные уязвимости содержатся во всех поколениях XenServer (от 5.5 до 6.0), и для их устранения необходимо обновить Web Self Service до версии 1.1.1, говорится в сообщении Positive Research.
В свою очередь, Web vSwitch Controller является специализированным управляющим виртуальным сервером (Virtual Appliance). Обнаруженные в нем уязвимости проявляются на XenServer 5.6, 5.6 SP 1/SP 2 и 6.0. Для их устранения необходимо обновить vSwitch Controller до версии 6.0.2.
«Технологии виртуализации радикально изменили представление об ИТ-инфраструктуре и предопределили появление облачных вычислений, — отметил Александр Анисимов, руководитель исследовательского центра Positive Research. — Однако уязвимости в платформе управления виртуальной инфраструктурой — настоящий подарок для хакера. Злоумышленнику достаточно получить доступ к серверу виртуализации, чтобы проникнуть на любую виртуальную машину в инфраструктуре. Повышение защищенности продуктов, обеспечивающих работу виртуальных серверов, является приоритетной задачей для специалистов в сфере информационной безопасности».
Короткая ссылка
