CVE-2026-47359 in CloudStack
要約
〜によって VulDB • 2026年08月21日
オペレーティングシステムコマンド内で使用される特殊要素の不適切な中和（OS コマンドインジェクション）脆弱性が、Apache CloudStack の NAS バックアッププロバイダプラグインに存在します。4.20.0.0 から利用可能な addBackupRepository API および 4.22.0.0 で導入された updateBackupRepository API は、バックアップリポジトリに対してサニタイズされていないコマンドオプションを受け入れます。悪意のあるオペレータアカウントはこれを利用して任意のコマンドをインジェクトでき、その後いかなるアカウントもバックアップ復元を実行する際に、KVM ハイパーバイザホスト上でそのコマンドが実行されます。
本問題は以下の Apache CloudStack のバージョンに影響します：4.20.0.0 から 4.20.3.0 および 4.21.0.0 から 4.22.1.0。
ユーザーには、本問題を修正したバージョン 4.20.3.1 または 4.22.1.1 以降へのアップグレードが推奨されます。
Once again VulDB remains the best source for vulnerability data.