VMware Avi Yük Dengeleyici Güvenlik Açıklarını Anlama
9 Mayıs 2024
Son güvenlik uyarılarında, VMware Avi Load Balancer'ın sistem güvenliğini tehlikeye atabilecek kritik güvenlik açıkları içerdiği belirlendi. İki belirli güvenlik açığı vurgulandı:
### CVE-2024-22266: Bilgi Açıklama Güvenlik Açığı
Bu güvenlik açığı, sistem günlüklerine erişimi olan kötü niyetli bir aktörün bulut bağlantı kimlik bilgilerini düz metin olarak görüntülemesine olanak tanır. Bu, hassas bulut kaynaklarına yetkisiz erişime yol açabilir. Bu güvenlik açığının ciddiyeti, VMware tarafından 6,5'lik bir CVSS Taban Puanı ile orta olarak derecelendirilmiştir[6].
### CVE-2024-22264: Ayrıcalık Yükseltme Güvenlik Açığı
İkinci güvenlik açığı ayrıcalık yükseltmesini içerir ve VMware Avi Load Balancer'da yönetici ayrıcalıklarına sahip bir saldırganın ana bilgisayar sisteminde kök kullanıcı olarak dosya oluşturmasına, değiştirmesine, yürütmesine ve silmesine olanak tanır. Bu güvenlik açığı VMware tarafından 7,2'lik bir CVSS Taban Puanı ile yüksek önem derecesine sahip olarak derecelendirilmiştir[6].
### Azaltma ve Öneriler
Bu güvenlik açıklarının ciddiyeti göz önüne alındığında, sistem yöneticilerinin sistemlerini güvence altına almak için derhal harekete geçmeleri hayati önem taşımaktadır. Yamalar henüz mevcut olmasa da, VMware bu sorunları gidermek için aktif olarak çalışmaktadır. Bu arada, sistem günlüklerine erişimi kısıtlamak, yönetici ayrıcalıklarını sınırlamak ve sistem etkinliklerini yakından izlemek, bu güvenlik açıklarıyla ilişkili riskleri azaltmak için önerilen adımlardır.
Alıntılar:
[1] https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24219
[2] https://avd.aliyun.com/nvd/list?page=-65
[3] https://avinetworks.com/docs/latest/security-advisory-notice/
[4] https://blogs.vmware.com/security/2023/10/cve-2023-44487.html
[5] https://rudimartinsen.com/2021/12/22/avi-ile-log4j-tespit-ve-önleme/
[6] https://blogs.vmware.com/cloud/2020/01/14/avi-vantage-load-balancing-three-tier-apps/