Неправильная нейтрализация специальных элементов, используемых в уязвимости команды («Внедрение команды») при запуске Apache CloudStack и получении функций диагностики для системных виртуальных машин и виртуальных маршрутизаторов. Аутентифицированный пользователь, обладающий разрешениями, необходимыми для вызова getDiagnosticsData или runDiagnostics, может выполнить произвольную команду на экземплярах системной виртуальной машины и/или виртуального маршрутизатора, при этом команды выполняются от имени пользователя root (или как минимум от имени пользователя процесса диагностики). Это представляет собой полную компрометацию затронутого экземпляра и, в зависимости от сегментации сети, может стать основой для горизонтального перемещения внутри инфраструктуры, управляемой CloudStack, включая доступ к трафику гостевой сети, обрабатываемому скомпрометированным виртуальным маршрутизатором.
API getDiagnosticsData и runDiagnostics по умолчанию доступны только учетным записям роли администратора. Эта проблема затрагивает Apache CloudStack: с 4.20.0.0 по 4.20.3.0 и с 4.21.0.0 по 4.22.1.0. Пользователям рекомендуется выполнить обновление до версии 4.20.3.1 или 4.22.1.1 или более поздней, что устраняет проблему.
Показать оригинальное описание (EN)
Improper Neutralization of Special Elements used in a Command ('Command Injection') vulnerability in Apache CloudStack's run and get diagnostics functionality for the system VMs and virtual routers. An authenticated user holding the permissions required to invoke either `getDiagnosticsData` or `runDiagnostics` can achieve arbitrary command execution on the system VM and/or Virtual Router instances, with commands running as root (or as the diagnostics-process user, at minimum). This represents a full compromise of the affected instance and, depending on network segmentation, may provide a foothold for lateral movement within the CloudStack-managed infrastructure, including access to guest network traffic handled by the compromised Virtual Router. The getDiagnosticsData and runDiagnostics APIs are restricted to only Admin role accounts by default. This issue affects Apache CloudStack: from 4.20.0.0 through 4.20.3.0 and from 4.21.0.0 through 4.22.1.0. Users are recommended to upgrade to version 4.20.3.1 or 4.22.1.1 or later, which fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Apache Cloudstack
cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:*
|
4.20.0.0
|
4.20.3.1
|
|
Apache Cloudstack
cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:*
|
4.21.0.0
|
4.22.1.1
|