CVE-2026-61400 in CloudStack
Sumário
de VulDB • 21/08/2026
Vulnerabilidade de "Neutralização inadequada de elementos especiais usados em um comando" ('Injeção de Comando') na funcionalidade de execução e obtenção de diagnósticos do Apache CloudStack para as VMs do sistema e roteadores virtuais.
Um usuário autenticado que possua as permissões necessárias para invocar `getDiagnosticsData` ou `runDiagnostics` pode obter a execução arbitrária de comandos nas instâncias da VM do sistema e/ou dos Roteadores Virtuais, com os comandos sendo executados como root (ou, no mínimo, como o usuário do processo de diagnóstico). Isso representa uma comprometimento total da instância afetada e, dependendo da segmentação de rede, pode fornecer um ponto de apoio para movimento lateral na infraestrutura gerenciada pelo CloudStack, incluindo acesso ao tráfego de rede dos convidados tratado pelo Roteador Virtual comprometido.
As APIs `getDiagnosticsData` e `runDiagnostics` são restritas por padrão apenas a contas com função de Administrador (Admin).
Este problema afeta o Apache CloudStack: das versões 4.20.0.0 à 4.20.3.0 e das versões 4.21.0.0 à 4.22.1.0.
Recomenda-se que os usuários atualizem para a versão 4.20.3.1 ou 4.22.1.1 ou posterior, que corrige o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.