CVE-2026-61400 in CloudStack
要約
〜によって VulDB • 2026年08月21日
Apache CloudStackのシステムVMおよび仮想ルータにおける「run」および「get diagnostics」機能に、コマンドインジェクション（特殊要素の不適切な中和）脆弱性があります。
`getDiagnosticsData` または `runDiagnostics` を呼び出すための権限を持つ認証済みユーザーは、システムVMや/または仮想ルータインスタンス上で任意のコマンド実行を達成できます。これらのコマンドはルート（root）として、あるいは少なくともダイアグノスティクスプロセスのユーザーとして実行されます。これは影響を受けるインスタントの完全な侵害を表し、ネットワークセグメンテーションの内容によっては、CloudStack管理インフラストラクチャ内での横断的移動のための足がかりを提供する可能性があります。これには、侵害された仮想ルータによって処理されるゲストネットワークトラフィックへのアクセスも含まれます。
`getDiagnosticsData` および `runDiagnostics` APIは、デフォルトではAdminロールのアカウントにのみ制限されています。
本問題は以下のApache CloudStackバージョンに影響します：4.20.0.0 から 4.20.3.0 まじ、および 4.21.0.0 から 4.22.1.0 の間。
ユーザーは、本問題を修正するバージョン 4.20.3.1 または 4.22.1.1 以降へのアップグレードを推奨されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.