CVE-2025-22828

📜 Описание

Apache CloudStack 4.16.0 и более поздние версии имеют проблему нарушения контроля доступа, которая позволяет пользователям, знающим UUID ресурсов, читать или добавлять комментарии (аннотации) к ресурсам, к которым у них нет прав доступа. UUID могут быть раскрыты в различных частях приложения, например, когда пользователь изначально имел доступ к ресурсу, но позже потерял его из-за административных ограничений.

🔍 Детали уязвимости

• Тип: Нарушение контроля доступа
• Воздействие: Несанкционированный доступ к аннотациям и потенциально конфиденциальным данным
• Затронутые версии: 4.16.0 и более поздние
• CWE: Раскрытие чувствительной информации неавторизованному субъекту (CWE-200)

🎬 Видео демонстрации

Несанкционированный доступ к аннотациям (команда listAnnotations)

Несанкционированное добавление аннотаций (команда addAnnotations)

🧑‍💻 Обнаружение

Уязвимость CVE-2025-22828 была обнаружена Алексом Перракисом (Stolichnayer).

🔗 Ссылки

• CVE-2025-22828 в блоге Apache CloudStack
• CVE-2025-22828 в программе CVE
• CVE-2025-22828 на NIST