PT-2025-26948
CVE-2024-11584
·
تاريخ النشر
2025-06-12
·
تاريخ التحديث
2026-01-29
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات cloud-init حتى الإصدار 25.1.2
الوصف:
تتعلق المشكلة بوحدة مأخذ التوصيل (socket) الخاصة بـ systemd
cloud-init-hotplugd.socket في cloud-init، والتي تحتوي على SocketMode افتراضي يمنح أذونات 0666، مما يجعلها قابلة للكتابة من قبل أي مستخدم. يؤثر هذا على FIFO ”/run/cloud-init/hook-hotplug-cmd“. قد يتمكن مستخدم غير متمتع بامتيازات من تشغيل أوامر hotplug-hook.التوصيات:
بالنسبة لإصدارات cloud-init حتى الإصدار 25.1.2، يُنصح بتقييد أذونات
cloud-init-hotplugd.socket لمنع الوصول غير المصرح به. كحل مؤقت، قم بتقييد الوصول إلى FIFO /run/cloud-init/hook-hotplug-cmd لتقليل مخاطر الاستغلال. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾