CVE-2026-61400 in CloudStack
Résumé
par VulDB • 21/08/2026
Vulnérabilité de « Neutralisation incorrecte d'éléments spéciaux utilisés dans une commande » ('Command Injection') dans les fonctionnalités `run` et `get diagnostics` des machines virtuelles système et routeurs virtuels d'Apache CloudStack.
Un utilisateur authentifié disposant des autorisations requises pour invoquer soit `getDiagnosticsData`, soit `runDiagnostics` peut obtenir une exécution de commandes arbitraires sur les instances de machine virtuelle système et/ou de routeur virtuel, avec l'exécution des commandes en tant que root (ou au minimum en tant qu'utilisateur du processus de diagnostic). Cela représente un compromis total de l'instance concernée et, selon la segmentation réseau, peut fournir une tête de pont pour un mouvement latéral au sein de l'infrastructure gérée par CloudStack, y compris l'accès au trafic des réseaux invités pris en charge par le routeur virtuel compromis.
Les API `getDiagnosticsData` et `runDiagnostics` sont restreintes aux comptes du rôle Administrateur (Admin) par défaut.
Cette vulnérabilité affecte Apache CloudStack : les versions 4.20.0.0 à 4.20.3.0 incluses, ainsi que les versions 4.21.0.0 à 4.22.1.0 incluses.
Il est recommandé aux utilisateurs de mettre à niveau vers la version 4.20.3.1 ou 4.22.1.1 ou une version ultérieure, qui corrigent le problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.