Apache CloudStack: Unbefugter Zugriff auf Anmerkungen
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:NNiedrig · nächste 30 Tage
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CloudStack-Benutzer können Kommentare (Annotationen) zu Ressourcen hinzufügen und lesen, auf die sie zugriffsberechtigt sind. Aufgrund eines Zugriffsvalidierungsproblems, das Apache-CloudStack-Versionen ab 4.16.0 betrifft, können Benutzer, die Zugriff, früheren Zugriff oder Kenntnis von Ressourcen-UUIDs haben, Kommentare (Annotationen) zu solchen Ressourcen auflisten und hinzufügen. Ein Angreifer mit einem Benutzerkonto und Zugriff oder früherer Kenntnis von Ressourcen-UUIDs könnte dieses Problem ausnutzen, um den Inhalt der Kommentare (Annotationen) zu lesen oder bösartige Kommentare (Annotationen) zu solchen Ressourcen hinzuzufügen. Dies kann zu einem potenziellen Verlust der Vertraulichkeit von CloudStack-Umgebungen und -Ressourcen führen, wenn die Kommentare (Annotationen) privilegierte Informationen enthalten. Das Erraten oder Brute-Forcen von Ressourcen-UUIDs ist jedoch in der Regel schwierig bis unmöglich, und der Zugriff zum Auflisten oder Hinzufügen von Kommentaren ist nicht mit dem Zugriff auf CloudStack-Ressourcen gleichzusetzen, was dieses Problem von sehr geringer Schwere und allgemein geringer Auswirkung macht. CloudStack-Administratoren können in ihrer Umgebung auch als Zwischenmaßnahme den listAnnotations- und addAnnotation-API-Zugriff für Nicht-Admin-Rollen untersagen.
Sicherheitslücke in Apache CloudStack ermöglicht unbefugten Zugriff auf Anmerkungen zu bestimmten Ressourcen.
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.