CVE-2025-22828

CloudStack kullanıcıları, erişim yetkisine sahip oldukları kaynaklara yorumlar (açıklamalar) ekleyebilir ve bunları okuyabilirler. Apache CloudStack 4.16.0 ve sonraki sürümleri etkileyen bir erişim doğrulama sorunu nedeniyle, mevcut erişimi olan veya kaynak UUID'lerini önceden bilen kullanıcılar, bu tür kaynaklara yorum (açıklama) ekleyebilir ve bunları listeleyebilirler. Kullanıcı hesabına sahip ve kaynak UUID'lerine erişimi veya ön bilgisi olan bir saldırgan, bu sorunu kullanarak yorumların (açıklamaların) içeriğini okuyabilir veya bu kaynaklara kötü amaçlı yorumlar (açıklamalar) ekleyebilir. Yorumlar (açıklamalar) herhangi bir ayrıcalıklı bilgi içeriyorsa, bu durum CloudStack ortamlarının ve kaynaklarının gizliliğinin potansiyel kaybına neden olabilir. Ancak, kaynak UUID'lerini tahmin etmek veya kaba kuvvet yöntemiyle bulmak genellikle zor veya imkansızdır ve yorumları listeleme veya ekleme erişimi, CloudStack kaynaklarına erişimle aynı değildir; bu da söz konusu sorunun çok düşük şiddette ve genel olarak düşük etkili olmasına neden olur. Geçici bir önlem olarak CloudStack yöneticileri, ortamlarındaki yönetici olmayan rollerin listAnnotations ve addAnnotation API erişimlerini de engelleyebilirler.