CVE-2025-22828

📜 説明

Apache CloudStack 4.16.0 以降のバージョンには、リソースUUIDを知っているユーザーが、アクセス権限のないリソースに対してコメント（アノテーション）を読み取ったり追加したりできる、アクセス制御の不備があります。 UUIDは、アプリケーションのさまざまな部分で露出する可能性があります。例えば、ユーザーが最初はリソースにアクセスできたが、後に管理上の制限によってアクセスを失った場合などです。

🔍 脆弱性の詳細

• 種類: アクセス制御の不備
• 影響: アノテーションや潜在的に機密データへの不正アクセス
• 影響を受けるバージョン: 4.16.0 以降
• CWE: 権限のないアクターへの機密情報の漏洩 (CWE-200)

🎬 デモ動画

アノテーションへの不正アクセス (listAnnotations コマンド)

アノテーションの不正追加 (addAnnotations コマンド)

🧑‍💻 発見者