Podatności Apache CloudStack

Użytkownicy kont mają domyślnie możliwość rejestrowania szablonów do pobrania bezpośrednio na główną pamięć w celu wdrażania instancji przy użyciu hypervisora KVM. Z powodu braku sanitizacji nazw plików, atakujący może zarejestrować złośliwe szablony, co pozwala na wykonanie dowolnego kodu na hostach KVM.

Brak oczyszczania polityki MinIO przy usuwaniu kubełków w Apache CloudStack pozwala użytkownikom na zachowanie dostępu do kubełków, które wcześniej posiadali. Jeśli inny użytkownik utworzy nowy kubełek o tej samej nazwie, poprzedni właściciele mogą uzyskać nieautoryzowany dostęp do niego.

Podatność na niewłaściwą kontrolę dostępu w Apache CloudStack wtyczki Kubernetes Service (CKS), umożliwiająca manipulację klastrem Kubernetes między dzierżawcami podczas dodawania i usuwania węzłów. Dotyczy wersji od 4.21.0.0 do 4.22.1.0.

Podatność na niewłaściwe kodowanie lub escapowanie danych wyjściowych w interfejsie użytkownika Apache CloudStack podczas korzystania z funkcji resetowania hasła instancji. Dotyczy wersji od 4.15.1.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność typu Server-Side Request Forgery (SSRF) w module webhook Apache CloudStack, możliwa do wykorzystania przez żądania dostarczania webhooków. Problem dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Rozszerzenie Proxmox dla Apache CloudStack umożliwia nieautoryzowany dostęp do instancji należących do innych najemców. Problem wynika z niewłaściwego użycia ustawienia instancji, co pozwala atakującym na modyfikację i uzyskanie kontroli nad maszynami wirtualnymi innych użytkowników.

Apache CloudStack przed wersją 4.5.2 nieprawidłowo zachowuje hasła VNC podczas migracji maszyn wirtualnych KVM, co umożliwia zdalnym atakującym uzyskanie dostępu poprzez połączenie z serwerem VNC.

Apache CloudStack w wersjach od 4.7.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0 zawiera podatność na brak zwolnienia zasobów po ich użyciu w funkcji globalnej konfiguracji zakresowej. Może to prowadzić do odmowy usługi (DoS) serwera zarządzania CloudStack.

Błędy walidacji certyfikatów w uwierzytelnianiu SAML w Apache CloudStack 4.20.3.0 i 4.22.1.0 pozwalają złośliwemu agentowi na sfałszowanie odpowiedzi SAML do serwera zarządzania. Agent musi podszyć adres IP IdP lub zarejestrować własny URL w serwerze zarządzania, po czym może umożliwić logowanie z fałszywymi podpisami. Zalecane jest uaktualnienie do wersji 4.20.3.1 lub 4.22.1.1 i nowszych.

Niewłaściwa kontrola dostępu w funkcji adnotacji w CloudStack umożliwia nieautoryzowane tworzenie komentarzy i ujawnianie istniejących. API addAnnotation i listAnnotation wykonują kontrolę własności, ale nie honorują jej wyniku poprawnie, co pozwala każdemu uwierzytelnionemu użytkownikowi na zapis i odczyt adnotacji na encjach, których nie posiada. Problem dotyczy wersji od 4.15.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Niewłaściwa autoryzacja dla operacji CRUD na rolach projektów i uprawnieniach ról projektów dla administratorów domen w CloudStack. Administrator domeny może tworzyć, aktualizować, usuwać i listować role projektów oraz uprawnienia dla projektów w dowolnej domenie, nie tylko własnej. Problem dotyczy wersji od 4.15.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Brak autoryzacji dla administratorów domen w funkcji listowania tagów hostów w CloudStack. Administratorzy domen mają domyślnie uprawnienia do wywoływania API listHostTags, ale API zwraca tagi hostów dla wszystkich hostów w środowisku bez ograniczenia do domeny. Problem dotyczy wersji od 4.12.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Ujawnienie wrażliwych informacji nieautoryzowanemu aktorowi w module Webhook w Apache CloudStack podczas listowania i usuwania dostaw. Problem dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność SSRF przed walidacją URL w funkcji rejestracji szablonów i ISO w Apache CloudStack. Podczas rejestracji CloudStack wykonuje żywe żądanie HTTP HEAD/GET w celu określenia rozmiaru pliku przed walidacją URL. Dotyczy wersji 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na wstrzykiwanie poleceń w funkcjach diagnostycznych systemu VM i wirtualnych routerów w Apache CloudStack. Uwierzytelniony użytkownik z odpowiednimi uprawnieniami może wykonać dowolne polecenia na instancjach systemu VM i wirtualnych routerach, działając jako root. Dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na niewłaściwe kodowanie lub escapowanie danych wyjściowych w interfejsie użytkownika Apache CloudStack podczas korzystania z funkcji blokady użytkownika. Dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na ujawnienie wrażliwych informacji nieautoryzowanemu aktorowi w wtyczce uwierzytelniania OAuth2 i integracji Google OAuth w Apache CloudStack. Dotyczy wersji od 4.19.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na niewłaściwe zarządzanie uprawnieniami w wtyczce uwierzytelniania dwuskładnikowego w Apache CloudStack, umożliwiająca obejście procesu wyłączania uwierzytelniania dwuskładnikowego. Dotyczy wersji od 4.18.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na ujawnienie wrażliwych informacji nieautoryzowanemu aktorowi w wtyczce uwierzytelniania LDAP w Apache CloudStack podczas wyświetlania listy dostawców LDAP. Konfiguracje LDAP mogą być wyświetlane przez każdego uwierzytelnionego użytkownika z dostępem do API listLdapConfigurations, które jest domyślnie dostępne dla wszystkich ról. Dotyczy wersji od 4.2.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na przechowywanie wrażliwych informacji w postaci jawnego tekstu w Apache CloudStack w związku z przechowywaniem zadań asynchronicznych (AsyncJob) w bazie danych. Dotyczy wersji od 4.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność ujawnienia wrażliwych informacji nieautoryzowanemu aktorowi w wtyczce uwierzytelniania OAuth w Apache CloudStack podczas wyświetlania listy dostawców OAuth. Problem dotyczy wersji od 4.19.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Brak autoryzacji i ujawnienie wrażliwych informacji w interfejsach API związanych z danymi użytkownika (userdata) w Apache CloudStack. Kilka API, w tym deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine i updateVirtualMachine, ma brakujące lub niewystarczające walidacje kontroli dostępu, co może pozwolić na dostęp między dzierżawcami/kontami do zasobów userdata innych dzierżawców. Problem dotyczy wersji od 4.18.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0. API deleteCniConfiguration, wprowadzone w 4.21.0.0, również wykazuje podobne zachowanie.

Podatność SSRF przez rozwiązywanie adresów URL Metalink oraz zdalne wykonanie kodu (RCE) na hiperwizorze KVM. Uwierzytelniony dzierżawca może zarejestrować szablon wskazujący na plik metalink kontrolowany przez atakującego, zawierający wewnętrzne cele. Secondary Storage VM pobierze dane i zapisze je jako plik szablonu, który może być później pobrany przez normalne API. Ponadto, uwierzytelniony dzierżawca z domyślną rolą User może wykonać dowolne polecenia powłoki jako root na hoście KVM, na którym działają maszyny wirtualne innych dzierżawców. Problem dotyczy wersji od 4.14.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność wstrzykiwania poleceń systemu operacyjnego (OS Command Injection) w wtyczce dostawcy kopii zapasowych NAS w Apache CloudStack. API addBackupRepository (dostępne od 4.20.0.0) i updateBackupRepository (wprowadzone w 4.22.0.0) akceptują nieoczyszczone opcje poleceń dla repozytorium kopii zapasowych. Złośliwe konto operatora może wykorzystać to do wstrzyknięcia dowolnych poleceń, które wykonują się na hoście KVM, gdy jakiekolwiek konto wykona przywracanie kopii zapasowej. Problem dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.