CVE-2026-61400 in CloudStack
Zusammenfassung
von VulDB • 21.08.2026
Unzulässige Handhabung von speziellen Elementen in einem Befehl ('Command Injection')-Schwachstelle in der `run`- und `getDiagnostics`-Funktionalität für System-VMs und virtuelle Router von Apache CloudStack.
Ein authentifizierter Benutzer, über die erforderlichen Berechtigungen zum Aufrufen entweder von `getDiagnosticsData` oder `runDiagnostics` verfügt, kann eine beliebige Befehlsausführung auf den System-VM- und/oder Virtual-Router-Instanzen erreichen, wobei die Befehle als root (oder mindestens als der Benutzer des Diagnose-Prozesses) ausgeführt werden. Dies stellt einen vollständigen Kompromittierung der betroffenen Instanz dar und kann je nach Netzwerksegmentierung eine Grundlage für laterale Bewegung innerhalb der von CloudStack verwalteten Infrastruktur bieten, einschließlich des Zugriffs auf Gastnetzwerkverkehr, der vom kompromittierten Virtual Router verarbeitet wird.
Die APIs `getDiagnosticsData` und `runDiagnostics` sind standardmäßig nur auf Admin-Rollenkonten beschränkt.
Dieses Problem betrifft Apache CloudStack: von 4.20.0.0 bis 4.20.3.0 sowie von 4.21.0.0 bis 4.22.1.0.
Benutzern wird empfohlen, auf Version 4.20.3.1 oder 4.22.1.1 oder höher zu aktualisieren, die das Problem behebt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.