概要
Apache CloudStackにおいて、KVMハイパーバイザーを使用するインスタンスのデプロイ用テンプレートをプライマリストレージに直接ダウンロード登録する機能にファイル名サニタイズの不備があります。攻撃者が悪意あるテンプレートを登録することで、KVMホスト上で任意のコードを実行でき、CloudStackが管理するKVMベースインフラの完全性・機密性・可用性が損なわれる可能性があります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.8（High） |
| CWE | CWE-94（コードインジェクション） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 低（アカウントユーザー） |
影響を受けるソフトウェア
- Apache CloudStack: 4.20.3.0 未満、4.22.0.1 未満
修正バージョンと回避策
- Apache CloudStack 4.20.3.0 または 4.22.0.1 以降へアップデートしてください
- KVM以外のハイパーバイザーを使用している環境は影響を受けません
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。