云安全日报210625：Ubuntu Ceph分布式存储文件系统发

Ubuntu是一个以桌面应用为主的Linux操作系统。它是一个开放源代码的自由软件，提供了一个健壮、功能丰富的计算环境，既适合家庭使用又适用于商业环境。Ubuntu为全球数百个公司提供商业支持。

6月25日，Ubuntu发布了安全更新,修复了Ceph分布式存储文件系统中发现的拒绝服务,信息泄露等重要漏洞。以下是漏洞详情

漏洞详情

来源:https://ubuntu./security/notices/USN-4998-1

1.CVE-2021-20288 CVSS评分7.2严重程度中

Ceph包含一个身份验证缺陷，导致密钥重用。攻击者可以使用它来导致拒绝服务或可能冒充其他用户。

2.CVE-2020-27781 CVSS评分7.1 严重程度中

Ceph中的用户凭据可以在某些环境中被操纵。攻击者可以利用这个来获得意外访问。

3.CVE-2021-3524 CVSS评分6.5 严重程度中

Ceph 的 RadosGW（Ceph 对象网关）允许在响应 CORS 请求时注入 HTTP 标头。攻击者可以利用它来破坏系统完整性。

4.CVE-2021-3509 CVSS评分6.1 严重程度中

Ceph 仪表板容易受到跨站点脚本攻击。攻击者可以利用它来暴露敏感信息或获得意外访问。

5.CVE-2020-27839 CVSS评分5.4 严重程度中

Ceph 仪表板容易受到跨站点脚本攻击。攻击者可以利用它来暴露敏感信息或获得意外访问。

6.CVE-2021-3531 CVSS评分5.3 严重程度中

Ceph的RadosGW（Ceph Object Gateay）在某些情况下没有正确处理对sift URL的GET请求，导致应用程序崩溃。攻击者可以使用它来导致拒绝服务。

7.CVE-2020-25678 CVSS评分4.4 严重程度低

在某些情况下，Ceph以明文形式记录来自mgr 模块的密码。攻击者可以使用它来暴露敏感信息。

受影响产品和版本

上述漏洞影响Ubuntu20.10,Ubuntu20.04LTS

解决方案

可以通过将系统更新为以下软件包版本来解决此问题

Ubuntu20.10:

grub-efi-arm64-bin-2.04-1ubuntu44.2

grub-efi-amd64-bin-2.04-1ubuntu44.2

grub-efi-arm64-signed-1.167.2+2.04-1ubuntu44.2

grub-efi-amd64-signed-1.167.2+2.04-1ubuntu44.2

Ubuntu20.04:

grub-efi-arm64-bin-2.04-1ubuntu44.2

grub-efi-amd64-bin-2.04-1ubuntu44.2

grub-efi-arm64-signed-1.167.2+2.04-1ubuntu44.2

grub-efi-amd64-signed-1.167.2+2.04-1ubuntu44.2

Ubuntu18.04:

grub-efi-arm64-bin-2.04-1ubuntu44.1.2

grub-efi-amd64-bin-2.04-1ubuntu44.1.2

grub-efi-arm64-signed-1.167~18.04.5+2.04-1ubuntu44.1.2

grub-efi-amd64-signed-1.167~18.04.5+2.04-1ubuntu44.1.2

查看更多漏洞信息以及升级请访问官网

https://ubuntu./security/cve