Apache CloudStack: 在同一域内不安全地访问用户的 API/Secret Keys

该漏洞的影响非常严重，攻击者可以利用它来完全控制受影响的 CloudStack 环境。通过获取 Admin 帐户的凭据，攻击者可以执行各种恶意操作，包括创建、修改或删除虚拟机、访问敏感数据、更改网络配置，甚至完全接管整个 CloudStack 集群。这种权限提升可能导致严重的资源泄露、数据丢失和拒绝服务攻击。攻击者可以利用此漏洞进行横向移动，访问其他域中的资源，进一步扩大攻击范围。由于 CloudStack 在许多组织中用于管理关键基础设施，因此该漏洞的潜在影响非常广泛。

Organizations utilizing Apache CloudStack in production environments, particularly those with complex domain hierarchies and a large number of administrative accounts, are at risk. Shared hosting environments where multiple customers share a CloudStack instance are also vulnerable, as a compromised Domain Admin account could potentially impact other tenants.

• apache: Examine CloudStack audit logs for unusual API key access patterns or attempts to impersonate Admin users.

journalctl -u cloudstack-management -f | grep "API key" | grep "Admin"

• apache: Monitor CloudStack API endpoints for unauthorized access attempts.

curl -I https://<cloudstack_management_server>/api/cloudstack/ | grep -i "403 forbidden"

• generic web: Review CloudStack access logs for suspicious activity originating from the ROOT domain.

grep "Domain Admin" /var/log/apache2/access.log

1. 2025-06-10Disclosure

   disclosure

1. 已保留2025-05-12
2. 发布日期2025-06-10
3. 修改日期2026-02-26
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 Apache CloudStack 升级到 4.20.1.0 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 ROOT 域中 Domain Admin 用户的权限，实施严格的访问控制策略，并监控 CloudStack API 的活动，以检测任何可疑行为。可以使用 Web 应用防火墙 (WAF) 来阻止恶意请求，并配置 CloudStack 的安全组以限制对敏感 API 的访问。此外，定期审查 CloudStack 的配置，确保遵循最佳安全实践。