CVE-2025-22828

सारांश

CloudStack उपयोगकर्ता उन संसाधनों पर टिप्पणियाँ (एनोटेशन) जोड़ और पढ़ सकते हैं जिन तक उन्हें पहुँच की अनुमति है। एक एक्सेस सत्यापन समस्या के कारण जो Apache CloudStack संस्करण 4.16.0 से प्रभावित करती है, जिन उपयोगकर्ताओं के पास पहुँच, पूर्व पहुँच या संसाधन UUIDs का ज्ञान है, वे ऐसे संसाधनों पर टिप्पणियाँ (एनोटेशन) सूचीबद्ध और जोड़ सकते हैं। एक हमलावर जिसके पास उपयोगकर्ता खाता और संसाधन UUIDs की पहुँच या पूर्व जानकारी है, वह इस समस्या का फायदा उठाकर टिप्पणियों (एनोटेशन) की सामग्री पढ़ सकता है या ऐसे संसाधनों पर दुर्भावनापूर्ण टिप्पणियाँ (एनोटेशन) जोड़ सकता है। यदि टिप्पणियों (एनोटेशन) में कोई विशेषाधिकार प्राप्त जानकारी हो तो इससे CloudStack वातावरणों और संसाधनों की गोपनीयता का संभावित नुकसान हो सकता है। हालाँकि, संसाधन UUIDs का अनुमान लगाना या ब्रूट-फोर्स करना आम तौर पर कठिन से असंभव है, और टिप्पणियों को सूचीबद्ध करने या जोड़ने की पहुँच CloudStack संसाधनों तक पहुँच के समान नहीं है, जिससे यह समस्या बहुत कम गंभीरता और सामान्य रूप से कम प्रभाव वाली है। CloudStack व्यवस्थापक अपने वातावरण में एक अंतरिम उपाय के रूप में गैर-व्यवस्थापक भूमिकाओं के लिए listAnnotations और addAnnotation API पहुँच को भी अस्वीकृत कर सकते हैं।

• CVE-2025-22828PoC

  Apache CloudStack भेद्यता कुछ संसाधनों पर एनोटेशन तक अनधिकृत पहुंच की अनुमति देती है।