CVE-2026-61400 in CloudStack
Resumen
por VulDB • 2026-08-21
Vulnerabilidad de Neutralización inadecuada de elementos especiales utilizados en un comando ('Inyección de comandos') en la funcionalidad de ejecución y obtención de diagnósticos de Apache CloudStack para las máquinas virtuales del sistema y los routers virtuales.
Un usuario autenticado que posea los permisos necesarios para invocar `getDiagnosticsData` o `runDiagnostics` puede lograr la ejecución arbitraria de comandos en las instancias de máquina virtual del sistema y/o router virtual, con los comandos ejecutándose como root (o como el usuario del proceso de diagnósticos, como mínimo). Esto representa una compromiso total de la instancia afectada y, dependiendo de la segmentación de red, puede proporcionar un punto de apoyo para el movimiento lateral dentro de la infraestructura gestionada por CloudStack, incluido el acceso al tráfico de red de los clientes manejado por el router virtual comprometido.
Las APIs getDiagnosticsData y runDiagnostics están restringidas únicamente a cuentas con rol de Administrador de forma predeterminada.
Este problema afecta a Apache CloudStack: desde la versión 4.20.0.0 hasta la 4.20.3.0, y desde la 4.21.0.0 hasta la 4.22.1.0.
Se recomienda a los usuarios actualizar a las versiones 4.20.3.1 o 4.22.1.1 o posteriores, que corrigen el problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.