CVE-2025-22828

📜 설명

Apache CloudStack 4.16.0 이상 버전에는 리소스 UUID를 알고 있는 사용자가 접근 권한이 없는 리소스에 대해 댓글(주석)을 읽거나 추가할 수 있게 하는 손상된 접근 제어 문제가 있습니다. UUID는 사용자가 처음에 리소스에 접근할 수 있었지만 관리 제한으로 인해 나중에 접근 권한을 상실하는 경우 등 애플리케이션의 여러 부분에서 노출될 수 있습니다.

🔍 취약점 세부 정보

• 유형: 손상된 접근 제어
• 영향: 주석 및 잠재적으로 민감한 데이터에 대한 무단 접근
• 영향을 받는 버전: 4.16.0 이상
• CWE: 무단 행위자에게 민감한 정보 노출 (CWE-200)

🎬 데모 비디오

주석에 대한 무단 접근 (listAnnotations 명령)

주석 무단 추가 (addAnnotations 명령)

🧑‍💻 발견

CVE-2025-22828 취약점은 Alex Perrakis(Stolichnayer)에 의해 발견되었습니다.

🔗 참고 자료

• Apache CloudStack 블로그의 CVE-2025-22828
• CVE 프로그램의 CVE-2025-22828
• NIST의 CVE-2025-22828