棱镜七彩安全预警

近日网上有关于开源项目Apache CloudStack SAML 插件 XXE 漏洞 ，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。

项目介绍

Apache CloudStack 是一款开源软件，用于部署和管理虚拟机的大型网络，是一个高可用性、高可伸缩性的基础设施即服务(IaaS)云计算平台。

项目主页

https://cloudstack.apache.org/

代码托管地址

https://github.com/apache/cloudstack

漏洞情况

在 Apache CloudStack 中默认情况下是不启用 SAML 2.0 插件，攻击者需要启用此插件才能利用该漏洞。因为 SAML 2.0 是基于 XML 实现的，XML 解析标准库容易受到 XXE 注入攻击，所以 Apache CloudStack 受到 XXE 的攻击。

攻击者可利用该漏洞读取任意文件，获取内网敏感信息。

CVE编号

CVE-2022-35741

受影响的版本

[4.5.0, 4.16.1.1)

修复方案

升级 Apache CloudStack 到 4.16.1.1 或更高版本。

链接地址：

https://lists.apache.org/thread/hwhxvtwp1d5dsm156bsf1cnyvtmrfv3f

http://www.openwall.com/lists/oss-security/2022/07/18/2

关于棱镜七彩

棱镜七彩作为国内专业提供开源成分管理及威胁情报服务的创新型科技企业，拥有自主知识产权的开源安全与合规系统化平台FOSSCHECK，平台依托强大的安全风险检测与响应能力，主要用于帮助对软件中的开源成分进行克隆检测和溯源分析、安全漏洞分析、开源组件管理、自动化策略执行、威胁情报预警及开源软件许可证合规，帮助企业更好的管理开源代码资产、跟踪开源资产安全性和合规性，提高研发效率，降低安全成本，为客户提供领先全面的开源安全与合规治理解决方案。更多讯息欢迎访问棱镜七彩微信公众号【LJQC7-cai】或加入七彩【开源社区生态分享营】进行开源分享与交流。