Apache CloudStack: Accès non sécurisé aux clés API/Secret d'un utilisateur dans le même domaine

L'exploitation réussie de cette vulnérabilité permet à un attaquant de se faire passer pour un utilisateur Admin et d'accéder à des API et des ressources sensibles. Cela peut entraîner une compromission de l'intégrité et de la confidentialité des ressources, une perte de données et un déni de service. L'attaquant peut potentiellement modifier la configuration du CloudStack, accéder à des données sensibles stockées dans l'environnement, et même compromettre d'autres systèmes connectés. Bien qu'il n'y ait pas de rapport d'exploitation publique connu à ce jour, la possibilité d'escalade de privilèges dans un environnement de gestion de cloud comme CloudStack présente un risque significatif, similaire à d'autres vulnérabilités d'accès non restreint aux clés API.

Organizations utilizing Apache CloudStack in production environments, particularly those with complex domain hierarchies and a large number of administrative accounts, are at risk. Shared hosting environments where multiple customers share a CloudStack instance are also vulnerable, as a compromised Domain Admin account could potentially impact other tenants.

• apache: Examine CloudStack audit logs for unusual API key access patterns or attempts to impersonate Admin users.

journalctl -u cloudstack-management -f | grep "API key" | grep "Admin"

• apache: Monitor CloudStack API endpoints for unauthorized access attempts.

curl -I https://<cloudstack_management_server>/api/cloudstack/ | grep -i "403 forbidden"

• generic web: Review CloudStack access logs for suspicious activity originating from the ROOT domain.

grep "Domain Admin" /var/log/apache2/access.log

1. 2025-06-10Disclosure

   disclosure

1. Réservé2025-05-12
2. Publiée2025-06-10
3. Modifiée2026-02-26
4. EPSS mis à jour2026-03-23

La correction officielle consiste à mettre à niveau Apache CloudStack vers la version 4.20.1.0 ou ultérieure. En attendant la mise à niveau, il est recommandé de renforcer les contrôles d'accès et de surveillance au sein du domaine ROOT. Limitez les privilèges des administrateurs de domaine au strict minimum nécessaire. Mettez en œuvre une surveillance renforcée des activités API pour détecter les tentatives d'accès non autorisées. Si une mise à niveau immédiate n'est pas possible, examinez la possibilité de créer des règles de pare-feu ou de proxy inverse pour restreindre l'accès aux API sensibles aux seuls utilisateurs autorisés. Vérifiez après la mise à niveau que les clés API des utilisateurs Admin sont correctement gérées et que les autorisations sont conformes aux politiques de sécurité.