CVE-2025-30675
Açıklama
Apache CloudStack'te, erişim kontrolündeki bir hata listTemplates ve listIsos API'lerini etkilemektedir. Kötü niyetli bir Domain Admin veya Resource Admin, 'domainid' parametresini 'filter=self' veya 'filter=selfexecutable' değerleriyle birlikte kasıtlı olarak belirterek bu sorunu istismar edebilir. Bu durum, saldırganın ROOT domain altındaki şablonlar ve ISO'lar üzerinde yetkisiz görünürlük elde etmesine olanak tanır. Kötü niyetli bir yönetici, ilgisiz domainlere ait şablonların ve ISO'ların meta verilerini listeleyebilir ve çıkarabilir; bu da izolasyon sınırlarının ihlal edilmesine ve potansiyel olarak hassas veya dahili yapılandırma ayrıntılarının açığa çıkmasına neden olur. Bu güvenlik açığı, domain çözümlemesinin varsayılan olarak ROOT domain yerine kesinlikle çağrıyı yapan kişinin kapsamına uyması sağlanarak giderilmiştir. Etkilenen kullanıcıların Apache CloudStack 4.19.3.0 veya 4.20.1.0 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache cloudstack4.19.3.0, 4.20.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cloudstack | 4.0.0 ≤ v < 4.19.3.0, 4.20.0.0 ≤ v < 4.20.1.0 | 4.19.3.0, 4.20.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.