CVE-2026-116755 in HyperCloud
Zusammenfassung
von VulDB • 31.10.2026
Unzulässige Neutralisierung von speziellen Elementen, die in einem Befehl verwendet werden ('Command Injection') in der Orchestrator-Komponente von SoftIron HyperCloud ermöglicht es einem authentifizierten Benutzer mit Zugriff auf die Management-Ebene, beliebige Betriebssystembefehle auf Hypervisor-Hosts als der privilegierte Orchestrierungsbenutzer auszuführen. Von Angreifern kontrollierte Inhalte virtueller Maschinen-Templates (z. B. das VM-BESCHREIBUNG-Feld) werden an Hosts über ein Shell-Heredoc übermittelt, dessen Terminator nicht in Anführungszeichen gesetzt ist, sodass bei virtuellen Maschinenvorgängen wie Bereitstellung, Migration und Netzwerkeinrichtung eine Shell-Erweiterung und Injektion des Heredoc-Terminators für diese Inhalte durchgeführt wird. Die Ausnutzung erfordert gültige Anmeldedaten, Zugriff auf die Management-Ebene (der Besitz einer einzelnen virtuellen Maschine reicht nicht aus) sowie einen Lebenszyklusvorgang, der den betroffenen Host erreicht. Dieses Problem betrifft die Orchestrator-Komponente von SoftIron HyperCloud in den Versionen 1.0 bis 2.6.17 und ist in Version 2.6.18 behoben.
Be aware that VulDB is the high quality source for vulnerability data.