1.4. 해결된 문제

Observable Discrepancy에 취약한 jsrsasign 패키지에서 취약점이 발견되었습니다.

이전 MTV 릴리스에서 사용된 11.0.0 이전의 패키지 jsrsasign 버전은 RSA PKCS1.5 또는 RSA-OAEP 암호 해독 프로세스의 Observable Discrepancy에 취약합니다. 이러한 불일치를 통해 공격자는 이 취약점을 악용하여 암호 텍스트를 해독할 수 있습니다. 그러나 이 취약점을 악용하려면 공격자는 동일한 키로 암호화된 많은 암호 텍스트에 액세스할 수 있어야 합니다. 이 문제는 jsrasign 패키지를 버전 11.0.0으로 업그레이드하여 MTV 2.5.5에서 해결되었습니다.

여러 HTTP/2가 활성화된 웹 서버는 DDoS 공격(Rapid Reset Attack)에 취약합니다.

HTTP/2 프로토콜에서 멀티플렉싱된 스트림을 처리하는 데 취약점이 발견되었습니다. 이전 버전의 MTV에서는 요청 취소가 여러 스트림을 빠르게 재설정할 수 있었기 때문에 HTTP/2 프로토콜을 통해 서비스 거부(서버 리소스 사용량)를 사용할 수 있었습니다. 연결당 최대 활성 스트림 수에 대한 서버 측 제한에 도달하지 않고 스트림을 설정하고 해체해야 했기 때문에 서버 리소스 소비로 인해 서비스가 거부되었습니다.

Gin Web Framework가 Context.FileAttachment 함수의 filename 매개변수를 올바르게 처리하지 않음

MTV에서 사용하는 Gin-Gonic Gin Web Framework에서 취약점이 발견되었습니다. Context.FileAttachment 함수의 filename 매개 변수가 제대로 평가되지 않았습니다. 이 패키지의 취약점으로 인해 원격 공격자가 Context.FileAttachment 기능의 filename 매개변수로 잘못된 입력 검증으로 인한 보안 제한을 우회할 수 있습니다. 악의적으로 생성된 파일 이름의 경우 Content-Disposition 헤더가 예기치 않은 파일 이름 값으로 전송되거나 Content-Disposition 헤더를 수정할 수 있습니다.

CVE-2023-26144: mtv-console-plugin-container: graphql: Insufficient 검사 in the OverlappingFieldsCanBeMergedRule.ts

16.3.0의 GraphQL 패키지 및 16.8.1 이전 버전에서 취약점이 발견되었습니다. 이 취약점은 MTV 2.5.2 이전의 MTV 버전이 대규모 쿼리를 구문 분석할 때 OverlappingFieldsCanBeMergedRule.ts 파일에서 충분하지 않기 때문에 DoS(Denial of Service)에 취약함을 의미합니다. 이 문제로 인해 공격자가 시스템 성능을 저하시킬 수 있습니다. (MTV-712)

CVE-2023-45142: Memory leaks found in the otelhttp handler of open-telemetry

OpenTelemetry-Go의 otelhttp 핸들러 에서 취약점이 발견되었습니다. 이 취약점은 MTV 2.5.3 이전 MTV 버전이 http.user_agent 및 http.method 로 인한 메모리 누수에 취약하며, 바인딩되지 않은 카디널티를 가지므로 인증되지 않은 공격자가 많은 악의적인 요청을 보내 서버의 메모리를 소진하여 가용성에 영향을 미칩니다. (MTV-795)

CVE-2023-39322: QUIC 연결은 사후 핸드셰이크 메시지를 읽을 때 버퍼링된 데이터 양에 상한을 설정하지 않음

Golang에서 취약점이 발견되었습니다. 이 취약점은 MTV 2.5.3 이전 MTV 버전이 QUIC 연결에 보안 취약점이 있어 사후 핸드셰이크 메시지를 읽을 때 버퍼링된 데이터 양에 상한을 설정하지 않아 악의적인 QUIC 연결이 바인딩되지 않은 메모리 증가를 유발할 수 있음을 의미합니다. 수정으로 연결에서 크기가 65KiB보다 큰 메시지를 일관되게 거부합니다. (MTV-708)

CVE-2023-39321: QUIC 연결에 대한 불완전한 post-handshake 메시지를 처리하면 패닉이 발생할 수 있습니다.

Golang에서 취약점이 발견되었습니다. 이 취약점은 MTV 2.5.3 이전 MTV 버전이 QUIC 연결에 대한 불완전한 후셰이크 메시지를 처리하는 데 취약하므로 패닉 상태가 발생합니다. (MTV-693)

CVE-2023-39319: html/template 패키지의 Flaw

MTV에서 사용되는 Golang html/template 패키지에서 취약점이 발견되었습니다. 이 취약점은 MTV 2.5.3 이전 MTV 버전이 보안 취약점을 의미합니다. html/template 패키지는 <script> 컨텍스트에서 <script> 컨텍스트의 < script, <!-- 및 < /script 내 </ script 의 발생을 제대로 처리하지 못했기 때문입니다. 이 취약점으로 인해 템플릿 구문 분석기가 스크립트 컨텍스트가 조기 종료되도록 잘못 간주하여 작업이 부적절하게 이스케이프되어 XSS 공격을 수행할 수 있습니다. (MTV-693)

CVE-2023-39318: html/template 패키지의 Flaw

MTV에서 사용되는 Golang html/template 패키지에서 취약점이 발견되었습니다. 이 취약점은 MTV 2.5.3 이전 MTV 버전이 html/template 패키지가 HMTL과 같은 "" 주석 토큰이나 hashbang \#! 주석 토큰을 올바르게 처리하지 않았기 때문에 보안 취약점이 있음을 의미합니다. 이 취약점으로 인해 템플릿 구문 분석기가 < script > 컨텍스트의 내용을 부적절하게 해석하여 작업이 부적절하게 이스케이프되어 XSS 공격을 수행할 수 있습니다. (MTV-693)

UI에서 다운로드한 로그 아카이브 파일에는 삭제된 마이그레이션 계획/VM과 관련된 로그가 포함됩니다.

이전 MTV 2.5 릴리스에서는 UI에서 다운로드한 로그 파일에 이전 마이그레이션 계획과 관련된 로그가 포함될 수 있습니다. (MTV-783)

RHV에서 VM 디스크 확장은 MTV 인벤토리에 반영되지 않음

이전 MTV 2.5 릴리스에서는 RHV에서 확장되는 디스크의 크기가 적절히 모니터링되지 않았습니다. 이로 인해 RHV 공급자에서 확장된 디스크가 있는 가상 머신을 마이그레이션할 수 없었습니다. (MTV-830)

파일 시스템 오버헤드 구성 가능

이전 MTV 2.5 릴리스에서는 새로운 영구 볼륨의 파일 시스템 오버헤드가 10%로 하드 코딩되었습니다. 특정 파일 시스템 유형에 대한 오버헤드가 부족하여 RHV 및 OSP에서 MTV가 배포된 클러스터로 콜드 마이그레이션 중에 실패했습니다. 다른 파일 시스템 유형에서는 하드 코딩된 오버헤드가 너무 높기 때문에 스토리지가 과도하게 사용되었습니다.

생성 및 업데이트 공급자 양식에 최신 데이터가 표시되었는지 확인합니다.

이전 버전의 MTV에서는 생성 및 업데이트 공급자 양식에 오래된 데이터가 표시될 수 있었습니다.

OpenStack에서 마이그레이션 중에 생성된 스냅샷은 삭제되지 않습니다.

이전 버전의 MTV 릴리스에서 Migration Controller 서비스는 OpenStack의 소스 가상 시스템을 마이그레이션하는 동안 생성된 스냅샷을 자동으로 삭제하지 않았습니다.

성공적인 마이그레이션 후 RHV 스냅샷은 삭제되지 않습니다.

이전 MTV 릴리스에서 Migration Controller 서비스는 RHV에서 VM을 성공적으로 마이그레이션한 후 스냅샷을 자동으로 삭제하지 않았습니다.

사전 복사와 함께 컷오버 충돌 시 웜 마이그레이션이 실패합니다.

이전 MTV 릴리스에서는 사전 복사를 수행하는 동안 트리거되었을 때 컷오버 작업이 실패했습니다. VM이 RHV에 잠겼으므로 ovirt-engine 에서 스냅샷 생성 또는 디스크 전송 작업을 거부했습니다.

VM이 잠길 때 웜 마이그레이션 실패

이전 릴리스의 MTV 릴리스에서는 VM을 잠그는 RHV에서 작업이 진행 중인 동안 웜 마이그레이션을 트리거하면 스냅샷 생성을 트리거할 수 없기 때문에 마이그레이션이 실패했습니다.

마이그레이션된 VM을 삭제해도 PVC 및 PV가 제거되지 않습니다.

이전 릴리스의 MTV 릴리스에서는 마이그레이션된 VM을 제거할 때 PVC(영구 볼륨 클레임) 및 PV(물리 볼륨)가 삭제되지 않았습니다.

마이그레이션 계획을 보관 및 삭제한 후 PVC 삭제가 중단됨

이전 릴리스의 MTV 릴리스에서는 마이그레이션이 실패할 때 마이그레이션 계획이 보관 및 삭제될 때 PVC와 PV가 예상대로 삭제되지 않았습니다.

여러 디스크가 있는 VM은 마이그레이션 후 부팅 불가능한 디스크에서 부팅할 수 있습니다.

이전 버전의 MTV 릴리스에서 마이그레이션된 여러 디스크가 있는 VM은 대상 Red Hat OpenShift 클러스터에서 부팅하지 못할 수 있습니다.

vSphere에서 콜드 마이그레이션을 고려하지 않은 전송 네트워크

MTV 릴리스에서 2.4.0-2.5.3. vSphere에서 MTV가 배포된 로컬 클러스터로 콜드 마이그레이션은 지정된 전송 네트워크를 고려하지 않았습니다. 이 문제는 MTV 2.5.4에서 해결되었습니다. (MTV-846)

vSphere에서 멀티 부팅 게스트 운영 체제로 VM 마이그레이션 수정

MTV 2.5.6에서 virt-v2v 인수에는 먼저 -root 가 포함되어 Pod가 실패하는 다중 부팅 VM의 문제가 완화됩니다. 이는 MTV 2.4에 도입된 회귀 문제에 대한 수정으로 --root 인수가 삭제되었습니다. (MTV-987)

팝업 Pod에 로그인한 오류가 향상되었습니다.

이전 버전의 MTV 2.5에서는 팝업 Pod가 실패 시 항상 재시작되었습니다. 이로 인해 실패한 Pod에서 로그를 수집하기 어려웠습니다. MTV 2.5.3에서는 팝업 Pod 재시작 횟수가 3배로 제한됩니다. 세 번째 및 마지막 시간에는 팝업 Pod가 실패 상태로 유지되어 must-gather 에 의해 로그를 쉽게 수집하고 forklift-controller 를 통해 이 단계가 실패했는지 알 수 있습니다. (MTV-818)

npm IP 패키지 취약점

Node.js Package Manager (npm) IP 패키지에서 발견된 취약점으로 공격자는 민감한 정보를 얻고 일반적으로 액세스할 수 없는 리소스에 액세스할 수 있습니다. MTV-941

Golang net/http/internal 패키지에서 취약점이 발견되었습니다.

MTV의 이전 릴리스에서 사용된 Golang net/http/internal 패키지의 버전에서 취약점이 발견되었습니다. 이 취약점으로 인해 악의적인 사용자가 HTTP 요청을 보내고 수신자가 본문에 있는 것보다 네트워크에서 더 많은 바이트를 읽을 수 있으므로 수신자가 응답을 읽지 못하여 서비스 거부(DoS)가 발생할 수 있습니다. 이 문제는 MTV 2.5.6에서 해결되었습니다.