CVE-2026-47359
Açıklama
Apache CloudStack'in NAS yedekleme sağlayıcı eklentisinde, bir işletim sistemi komutunda kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesi ('OS Command Injection') zafiyeti bulunmaktadır. addBackupRepository API'si (4.20.0.0 sürümünden itibaren mevcut) ve updateBackupRepository API'si (4.22.0.0 ile tanıtıldı), yedekleme deposu için temizlenmemiş komut seçeneklerini kabul etmektedir. Kötü niyetli bir operatör hesabı, herhangi bir hesabın daha sonra bir yedekleme geri yükleme işlemi gerçekleştirmesi durumunda, KVM hypervisor ana makinesinde yürütülecek rastgele komutlar enjekte etmek için bu durumu istismar edebilir. Bu sorun şu Apache CloudStack sürümlerini etkilemektedir: 4.20.0.0 ile 4.20.3.0 arası ve 4.21.0.0 ile 4.22.1.0 arası. Kullanıcıların, sorunu gideren 4.20.3.1 veya 4.22.1.1 ya da daha yeni bir sürüme yükseltmeleri önerilir.
Nasıl düzeltilir
- apache cloudstack4.20.3.1, 4.22.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cloudstack | 4.20.0.0 ≤ v < 4.20.3.1, 4.21.0.0 ≤ v < 4.22.1.1 | 4.20.3.1, 4.22.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.