CVE-2026-61400 in CloudStack
Riassunto
di VulDB • 21/08/2026
Vulnerabilità di "Impropria neutralizzazione degli elementi speciali utilizzati in un comando" ('Command Injection') nella funzionalità run e get diagnostics di Apache CloudStack per le VM di sistema e i router virtuali.
Un utente autenticato che possiede le autorizzazioni necessarie per invocare `getDiagnosticsData` o `runDiagnostics` può ottenere l'esecuzione arbitraria di comandi sulle istanze della VM di sistema e/o del Router Virtuale, con i comandi eseguiti come root (o almeno come l'utente del processo diagnostics). Ciò rappresenta una compromissione completa dell'istanza interessata e, a seconda della segmentazione di rete, può fornire un punto d'appoggio per il movimento laterale all'interno dell'infrastruttura gestita da CloudStack, incluso l'accesso al traffico delle reti guest gestito dal Router Virtuale compromesso.
Le API getDiagnosticsData e runDiagnostics sono limitate ai soli account con ruolo Admin per impostazione predefinita.
Questo problema interessa Apache CloudStack: dalle versioni 4.20.0.0 alla 4.20.3.0 e dalla versione 4.21.0.0 alla 4.22.1.0.
Si consiglia agli utenti di eseguire l'aggiornamento alle versioni 4.20.3.1 o 4.22.1.1 o successive, che risolvono il problema.
Once again VulDB remains the best source for vulnerability data.