Plateforme
apache
Composant
quota-plugin
Corrigé dans
4.20.1.0
La vulnérabilité CVE-2025-22829 affecte le plugin Quota de CloudStack. Elle résulte d'une logique de gestion des privilèges incorrecte, permettant à un utilisateur authentifié d'influencer la réception des notifications de quota pour d'autres comptes. Cette faille impacte les versions 4.20.0.0 du plugin Quota. La mise à jour vers la version 4.20.1.0 corrige ce problème.
Cette vulnérabilité permet à un attaquant authentifié, disposant d'un accès aux API appropriées, de modifier la configuration de réception des emails relatifs aux quotas pour n'importe quel compte au sein de l'environnement CloudStack. Bien que l'impact direct puisse sembler limité (contrôle des notifications), cela peut être exploité pour masquer des dépassements de quota, compliquant la détection d'une utilisation abusive des ressources. Un attaquant pourrait ainsi dissimuler ses activités en empêchant les administrateurs de recevoir des alertes importantes. Il n'est pas clair si cette vulnérabilité peut être utilisée pour un accès non autorisé aux données, mais la manipulation des notifications de quota peut faciliter d'autres attaques.
La vulnérabilité CVE-2025-22829 a été divulguée le 10 juin 2025. Aucune preuve d'exploitation active n'est actuellement disponible. Il n'est pas listé sur le KEV de CISA. Un PoC public n'a pas été rendu public à ce jour. La probabilité d'exploitation est considérée comme faible en l'absence de PoC et d'exploitation active.
Organizations utilizing CloudStack with the Quota plugin enabled, particularly those running versions 4.20.0.0 through 4.20.1.0, are at risk. Environments with overly permissive API access controls or shared hosting configurations where multiple users have access to the CloudStack management interface are especially vulnerable.
• apache / server:
# Check for unusual quota configuration changes in CloudStack audit logs
journalctl -u cloudstack -g 'quota' | grep -i 'modified'• generic web:
# Check for unexpected API calls related to quota management
curl -s 'https://<cloudstack_url>/api/cloudstack/quota' | grep -i 'enabled'disclosure
Statut de l'Exploit
EPSS
0.19% (percentile 41%)
CISA SSVC
La mitigation principale consiste à appliquer la mise à jour vers CloudStack version 4.20.1.0, qui corrige la vulnérabilité. En attendant la mise à jour, il n'existe pas de contournement direct. Il est recommandé de restreindre l'accès aux API concernées aux utilisateurs disposant uniquement des privilèges nécessaires. Surveillez attentivement les journaux d'accès aux API pour détecter toute activité suspecte, en particulier les tentatives de modification des configurations de réception des emails de quota. Une analyse régulière des configurations des comptes peut également aider à identifier des modifications non autorisées.
Actualice Apache CloudStack a la versión 4.20.1.0 o superior. Esta versión corrige la lógica de gestión de privilegios incorrecta en el plugin Quota. La actualización evitará el acceso no autorizado a recursos dedicados y la manipulación de configuraciones de correo electrónico relacionadas con las cuotas.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-22829 is a vulnerability in the CloudStack Quota plugin allowing authenticated users to manipulate quota email settings for any account, bypassing access controls.
You are affected if you are using CloudStack versions 4.20.0.0 through 4.20.1.0 with the Quota plugin enabled.
Upgrade CloudStack to version 4.20.1.0 or later to resolve the vulnerability. Restrict API access as an interim measure.
Active exploitation campaigns targeting CVE-2025-22829 are not currently known, but vigilance is advised.
Refer to the official CloudStack security advisory for details and further guidance.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.