В проекте XAPI обнаружили пять подтверждённых уязвимостей, затрагивающих механизм разграничения доступа по ролям. Пользователи с ролью vm-admin или схожими правами могли выйти за рамки разрешённого и получить доступ к критическим функциям сервера.
Одна из уязвимостей позволяла подключить файлы хост-системы как виртуальные диски и таким образом читать или изменять их содержимое. Другая давала возможность замаскировать виртуальную машину под системную, из-за чего она пропадала из инструментов управления и не останавливалась при обслуживании.
Разработчики уже выпустили исправления и рекомендуют установить их как можно скорее. В качестве временной меры советуют отключить учётные записи с ролями vm-admin, vm-power-admin и pool-operator.
Одна из уязвимостей позволяла подключить файлы хост-системы как виртуальные диски и таким образом читать или изменять их содержимое. Другая давала возможность замаскировать виртуальную машину под системную, из-за чего она пропадала из инструментов управления и не останавливалась при обслуживании.
Разработчики уже выпустили исправления и рекомендуют установить их как можно скорее. В качестве временной меры советуют отключить учётные записи с ролями vm-admin, vm-power-admin и pool-operator.