Apache CloudStack LTS Security Bulletin: Multiple Vulnerabilities Fixed (CVE-2025-66170, CVE-2025-66467, CVE-2026-25077)

Apache CloudStack LTS のセキュリティ脆弱性サマリー 脆弱性の概要 Apache CloudStack は、複数のセキュリティ脆弱性を修正した LTS バージョン 4.20.3.0 および 4.22.0.1 をリリースしました。主要な脆弱性は以下の通りです： 1. CVE-2025-66170：CloudStack Backup プラグインに不正な認可ロジックが存在し、ユーザーがアクセス権限のないバックアップを一覧表示できる。 2. CVE-2025-66171：CloudStack Backup プラグインに不正な認可ロジックが存在し、ユーザーがアクセス権限のないバックアップから新しい仮想マシンを作成できる。 3. CVE-2025-66172：CloudStack Backup プラグインに不正なアクセスロジックが存在し、ユーザーが他のユーザーのバックアップからボリュームを復元し、自分の仮想マシンにアタッチできる。 4. CVE-2025-66467：Apache CloudStack を介したバケット削除時に、MinIO ポリシーのクリーンアップ処理が欠落しており、ユーザーが以前所有していたバケットへのアクセス権を保持できる。 5. CVE-2025-69233：リソースカウントチェックおよびインクリメントロジックに競合状態（Race Condition）が存在し、ドメイン/アカウントのリソース制限が尊重されず、ユーザーが割り当てられたリソース制限を超えることができる。 6. CVE-2026-25077：ファイル名のサニタイズ（消毒）が欠落しており、攻撃者が悪意あるテンプレートを登録して KVM ホスト上で任意のコードを実行できる。 7. CVE-2026-25199：Proxmox 拡張機能において、ユーザーが編集可能なインスタンス設定が誤って使用されており、権限のない攻撃者が設定を修正して、別のアカウントに属する仮想マシンを参照できる。 影響範囲 CVE-2025-66170, CVE-2025-66171, CVE-2025-66172：Apache CloudStack 4.21.0.0 から 4.22.0.0 に影響。 CVE-2025-66467：Apache CloudStack 4.19.0.0 から 4.20.2.0 および 4.21.0.0 から 4.22.0.0 に影響。 CVE-2025-69233：Apache CloudStack 4.0.0 から 4.20.2.0 および 4.21.0.0 から 4.22.0.0 に影響。 CVE-2026-25077：Apache CloudStack 4.11.0 から 4.20.2.0 および 4.21.0.0 から 4.22.0.0 に影響。 CVE-2026-25199：Apache CloudStack 4.21.0.0 から 4.22.0.0 に影響。 修正方策 CVE-2025-66170, CVE-2025-66171, CVE-2025-66172, CVE-2026-25199：バージョン 4.22.0.1 以降へのアップグレードを推奨。 CVE-2025-66467, CVE-2025-69233, CVE-2026-25077：バージョン 4.20.3.0 または 4.22.0.1 以降へのアップグレードを推奨。 一時解決策 既存の環境では、 をグローバル設定パラメータに追加することで、Proxmox インスタンスの詳細が編集されるのを防止できます。 ダウンロードとドキュメント 公式ソースコードは Apache CloudStack ダウンロードページ から入手できます。 バージョン 4.22.0.1 のリリースノートは こちら で確認できます。 各リリースのパッケージは Apache CloudStack ダウンロードページ から入手できます。

目標達成 すべての支援者に感謝 — 100%達成しました！

Apache CloudStack LTS Security Bulletin: Multiple Vulnerabilities Fixed (CVE-2025-66170, CVE-2025-66467, CVE-2026-25077)

目標達成すべての支援者に感謝 — 100%達成しました！