Отсутствие авторизации, раскрытие конфиденциальной информации несанкционированному субъекту. Уязвимость в справочных API-интерфейсах пользовательских данных Apache CloudStack. Некоторые API-интерфейсы, связанные с пользовательскими данными, в Apache CloudStack, в том числе deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, DeployVirtualMachine и updateVirtualMachine, демонстрируют отсутствие или недостаточную проверку контроля доступа, что потенциально обеспечивает доступ между арендаторами и учетными записями к ресурсам пользовательских данных, принадлежащим другим арендаторам.
Эта проблема затрагивает Apache CloudStack: с 4.18.0.0 по 4.20.3.0 и с 4.21.0.0 по 4.22.1.0. API deleteCniConfiguration, представленный в версии 4.21.0.0, также демонстрирует аналогичное поведение и не имеет проверки доступа. Пользователям рекомендуется выполнить обновление до версии 4.20.3.1 или 4.22.1.1 или более поздней, что устраняет проблему.
Показать оригинальное описание (EN)
Missing Authorization, Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Apache CloudStack's Userdata reference APIs. Several userdata-related APIs in Apache CloudStack, including deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine, and updateVirtualMachine, exhibit missing or insufficient access control validation, potentially allowing cross-tenant/cross-account access to userdata resources that belong to other tenants. This issue affects Apache CloudStack: from 4.18.0.0 through 4.20.3.0 and from 4.21.0.0 through 4.22.1.0. The deleteCniConfiguration API, introduced in 4.21.0.0, also exhibits similar behaviour and lacks access validation. Users are recommended to upgrade to version 4.20.3.1 or 4.22.1.1 or later, which fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Apache Cloudstack
cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:*
|
4.18.0.0
|
4.20.3.1
|
|
Apache Cloudstack
cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:*
|
4.21.0.0
|
4.22.1.1
|