Apache CloudStack: Domain Admin pode redefinir a senha do Admin no Domínio Raiz

A exploração bem-sucedida desta vulnerabilidade permite que um atacante malicioso, atuando como um Administrador de Domínio, redefina as senhas de contas de Administrador. Isso concede ao atacante acesso não autorizado a APIs e recursos sensíveis, permitindo a manipulação de dados, a interrupção do serviço e o comprometimento da integridade da infraestrutura. O potencial de dano é significativo, pois o atacante pode efetivamente se passar por um Administrador legítimo e executar ações com privilégios elevados, como a criação, modificação ou exclusão de máquinas virtuais, redes e outros recursos críticos. A falta de restrições adequadas na redefinição de senhas torna esta vulnerabilidade particularmente perigosa.

Organizations heavily reliant on Apache CloudStack for their cloud infrastructure are at risk. Specifically, deployments with a large number of Domain Admin users or those lacking robust access control policies are particularly vulnerable. Shared hosting environments utilizing CloudStack should also be assessed, as compromised Domain Admin accounts could impact multiple tenants.

• apache: Check CloudStack logs for unusual password reset activity, especially from the ROOT domain. Look for patterns indicating unauthorized access attempts.

journalctl -u cloudstack-management -g 'password reset'

• apache: Audit user accounts and permissions within the ROOT domain to ensure least privilege is enforced.

# Example: Check user roles and permissions (CloudStack CLI or API)
# This requires familiarity with CloudStack's access control system.

• generic web: Monitor CloudStack API endpoints for unauthorized access attempts, particularly those related to user management.

curl -I https://<cloudstack_host>/api/cloudstack/user/resetPassword

1. 2025-06-10Disclosure

   disclosure

1. Reservado2025-05-07
2. Publicada2025-06-10
3. Modificada2026-02-26
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é a atualização para a versão corrigida do Apache CloudStack, 4.20.1.0 ou superior. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como a revisão rigorosa das permissões de acesso e a implementação de autenticação multifator (MFA) para contas de administrador. Monitore de perto os logs de auditoria em busca de atividades suspeitas, como tentativas de redefinição de senha não autorizadas. Implementar políticas de senhas fortes e rotatividade regular também pode ajudar a reduzir o risco. Após a atualização, confirme a correção verificando se a redefinição de senha de contas de administrador por usuários de domínio não é mais permitida.