CVE-2025-22828

概要

CloudStackユーザーは、アクセスを許可されたリソースに対してコメント（アノテーション）を追加および閲覧することができます。Apache CloudStack 4.16.0以降に影響するアクセス検証の問題により、リソースUUIDへのアクセス権、以前のアクセス権、または知識を持つユーザーは、そのようなリソースのコメント（アノテーション）を一覧表示および追加することができます。ユーザーアカウントを持ち、リソースUUIDへのアクセス権または事前の知識を持つ攻撃者は、この問題を悪用してコメント（アノテーション）の内容を読み取ったり、そのようなリソースに悪意のあるコメント（アノテーション）を追加したりする可能性があります。コメント（アノテーション）に特権情報が含まれている場合、CloudStack環境およびリソースの機密性が失われる可能性があります。ただし、リソースUUIDの推測やブルートフォースは一般に困難から不可能であり、コメントの一覧表示や追加へのアクセスはCloudStackリソースへのアクセスと同等ではないため、この問題は非常に深刻度が低く、一般的な影響も低いものとなっています。CloudStack管理者は、暫定措置として、環境内の非管理者ロールに対してlistAnnotationsおよびaddAnnotation APIアクセスを許可しないようにすることもできます。

• CVE-2025-22828PoC

  Apache CloudStack の脆弱性により、特定のリソースのアノテーションへの不正アクセスが可能になります。