Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-25199 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-05-08 |
| Producent | Apache |
| Produkt | CloudStack |
| CVSS Score | 9.1 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD
Instancje wdrożone przez rozszerzenie Proxmox umożliwiają nieautoryzowany dostęp do instancji należących do innych najemców.
Problem dotyczy Apache CloudStack: od wersji 4.21.0.0 do 4.22.0.0.
Rozszerzenie Proxmox dla CloudStack nieprawidłowo używa edytowalnego przez użytkownika ustawienia instancji proxmox_vmid do kojarzenia instancji CloudStack z maszynami wirtualnymi Proxmox. Ponieważ wartość ta nie jest ograniczona ani weryfikowana pod kątem własności najemcy, a identyfikatory VM w Proxmox są przewidywalne, nieuprzywilejowany atakujący może zmodyfikować to ustawienie, aby uzyskać dostęp do zasobów innych najemców.
Wymagane działania
Zastosuj poprawki lub środki zaradcze producenta najszybciej, jak będą dostępne.
Kogo dotyczy?
Podatność dotyczy produktu CloudStack firmy Apache. Sprawdź czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
