Apache CloudStack: Acceso inseguro a las claves API/Secretas de un usuario en el mismo dominio

Esta vulnerabilidad permite a un atacante con acceso de Administrador de Dominio en el dominio ROOT, obtener las claves API y secretas de cuentas de usuario con rol de Administrador. Al obtener estas credenciales, el atacante puede impersonar a un usuario Administrador, accediendo a APIs sensibles y recursos críticos. Esto podría resultar en la manipulación de la integridad de los recursos, la pérdida de confidencialidad de los datos, e incluso una denegación de servicio. El impacto potencial es significativo, ya que el atacante podría comprometer la totalidad del entorno CloudStack, dependiendo de los permisos asociados a la cuenta Administrador impersonada. La capacidad de acceder a APIs sensibles abre la puerta a la modificación de configuraciones, la creación o eliminación de máquinas virtuales, y el acceso a datos confidenciales almacenados en la plataforma.

Organizations utilizing Apache CloudStack in production environments, particularly those with complex domain hierarchies and a large number of administrative accounts, are at risk. Shared hosting environments where multiple customers share a CloudStack instance are also vulnerable, as a compromised Domain Admin account could potentially impact other tenants.

• apache: Examine CloudStack audit logs for unusual API key access patterns or attempts to impersonate Admin users.

journalctl -u cloudstack-management -f | grep "API key" | grep "Admin"

• apache: Monitor CloudStack API endpoints for unauthorized access attempts.

curl -I https://<cloudstack_management_server>/api/cloudstack/ | grep -i "403 forbidden"

• generic web: Review CloudStack access logs for suspicious activity originating from the ROOT domain.

grep "Domain Admin" /var/log/apache2/access.log

1. 2025-06-10Disclosure

   disclosure

1. Reservado2025-05-12
2. Publicada2025-06-10
3. Modificada2026-02-26
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar Apache CloudStack a la versión 4.20.1.0 o superior, donde la restricción de acceso a las claves API ha sido implementada. Si la actualización inmediata no es posible, se recomienda revisar y restringir los permisos de los usuarios Administrador de Dominio, limitando su acceso a las APIs más críticas. Implementar una política de rotación de claves API puede ayudar a mitigar el impacto en caso de que las claves sean comprometidas. Monitorear los registros de auditoría de CloudStack en busca de actividades sospechosas, como intentos de acceso no autorizados a las claves API, es crucial. Después de la actualización, confirmar la corrección verificando que los Administradores de Dominio ya no pueden acceder a las claves API de las cuentas de Administrador.