https://opennet.dev/openforum/vsluhforumID3/77479.html В платформе для организации работы облачных окружений Eucalyptus (http://open.eucalyptus.com/) найдена уязвимость (http://open.eucalyptus.com/wiki/esa-02). Проблема присутствует реализации управляющего SOAP-интерфейса и связана с возможностью совершения атаки по перехвату и подстановки управляющих запросов, путем копирования сигнатуры пользователя из незашифрованных XML-блоков данных. В частности, перехватив SOAP-запросы между пользователем и облачной инфраструктурой, злоумышленник получает возможность отправки собственных команд от имени пользователя. <br><br><br>Проблема исправлена в выпуске Eucalyptus 2.0.3 (http://open.eucalyptus.com/download). Уязвимость проявляется (http://www.ubuntu.com/usn/usn-1137-1/) для пакета Eucalyptus из состава Ubuntu Enterprise Cloud (UEC) 10.04 LTS, 10.10 и 11.04.<br><br>URL: http://www.ubuntu.com/usn/usn-1137-1/<br>Новость: http://www.opennet.ru/opennews/art.shtml?num=30720<br> https://opennet.dev/openforum/vsluhforumID3/77479.html#3 Tue, 31 May 2011 18:14:42 GMT Ну, для вящей уверенности, ID и сигнатуры всё-таки лучше шифровать.<br> https://opennet.dev/openforum/vsluhforumID3/77479.html#2 Tue, 31 May 2011 09:44:11 GMT Эта атака возможна только в случае "хацкер посередине", и то апдейты уже выпустили, нормальнаый рабочий цикл открытого ПО.<br>Кроме того ведь сам SOAP как и XML и другие протоколы обмена с вебмордами защиты как бэ не дают вообще. HTTPS как минимум в помощь или ВПН шифротуннель.<br>