CVE-2026-25199
KrytyczneStreszczenie
Rozszerzenie Proxmox dla Apache CloudStack umożliwia nieautoryzowany dostęp do instancji należących do innych najemców. Problem wynika z niewłaściwego użycia ustawienia instancji, co pozwala atakującym na modyfikację i uzyskanie kontroli nad maszynami wirtualnymi innych użytkowników.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do wirtualnych maszyn, co może prowadzić do utraty danych lub zakłócenia usług. Atakujący mogą w pełni kontrolować maszyny wirtualne, co stwarza poważne zagrożenie dla bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji 4.22.0.1, która naprawia tę podatność. Alternatywnie, można zablokować edytowanie ustawienia proxmox_vmid przez użytkowników, dodając tę nazwę do globalnego parametru konfiguracyjnego - user.vm.
Oryginalny opis (angielski, źródło NVD)
Instances deployed via the Proxmox extension allow unauthorized access to instances belonging to other tenants. This issue affects Apache CloudStack: from 4.21.0.0 through 4.22.0.0. The Proxmox extension for CloudStack improperly uses a user-editable instance setting, proxmox_vmid, to associate CloudStack instances with Proxmox virtual machines. Because this value is not restricted or validated against tenant ownership and Proxmox VM IDs are predictable, a non-privileged attacker can modify the setting to reference a VM belonging to another account. This allows unauthorized cross-tenant access and enables full control over the targeted VM, including starting, stopping, and destroying the virtual machine. Users are recommended to upgrade to version 4.22.0.1, which fixes this issue. As a workaround for the existing installations, editing of the proxmox_vmid instance detail by users can be prevented by adding this detail name to the global configuration parameter - user.vm