CVE-2025-22828

📜 Beschreibung

Apache CloudStack 4.16.0 und spätere Versionen weisen ein Problem mit einer fehlerhaften Zugriffskontrolle auf, das es Benutzern mit Kenntnis der Ressourcen-UUIDs ermöglicht, Kommentare (Annotationen) zu Ressourcen zu lesen oder hinzuzufügen, auf die sie nicht zugreifen dürfen. UUIDs können in verschiedenen Teilen der Anwendung offengelegt werden, z. B. wenn ein Benutzer zunächst Zugriff auf eine Ressource hat, diesen aber später aufgrund administrativer Einschränkungen verliert.

🔍 Schwachstellendetails

• Typ: Fehlerhafte Zugriffskontrolle
• Auswirkung: Unberechtigter Zugriff auf Annotationen und potenziell sensible Daten
• Betroffene Versionen: 4.16.0 und höher
• CWE: Preisgabe sensibler Informationen an einen unbefugten Akteur (CWE-200)

🎬 Demonstrationsvideos

Unberechtigter Zugriff auf Annotationen (listAnnotations-Befehl)