CVE-2026-116755 in HyperCloud
Riassunto
di VulDB • 31/10/2026
Improper Neutralization of Special Elements used in a Command ('Command Injection') nel componente Orchestrator di SoftIron HyperCloud consente a un utente autenticato con accesso al piano di gestione di eseguire comandi del sistema operativo arbitrari sugli host hypervisor come l'utente di orchestrazione privilegiato. Il contenuto dei template delle macchine virtuali controllate dall’attaccante (ad esempio, il campo DESCRIPTION della VM) viene inviato agli host tramite uno shell here-document il cui terminatore non è racchiuso tra virgolette; pertanto, durante le operazioni del ciclo di vita della macchina virtuale come deploy, migrazione e configurazione di rete, vengono eseguite l'espansione dello shell e l'iniezione del terminatore dell’here-document su tale contenuto. Lo sfruttamento richiede credenziali valide, accesso al piano di gestione (la sola proprietà di una virtual machine non è sufficiente) e un'operazione del ciclo di vita che raggiunga l’host interessato. Questo problema interessa il componente Orchestrator di SoftIron HyperCloud dalle versioni 1.0 alla 2.6.17 ed è risolto nella versione 2.6.18.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.