Samy Ghannad

Um locatário autenticado pode realizar Server-Side Request Forgery (SSRF) ao registrar um template que aponta para um arquivo metalink malicioso contendo alvos internos, permitindo que a VM de Armazenamento Secundário recupere e persista esses dados. Além disso, um locatário com a função de Usuário padrão pode obter Execução Remota de Código (RCE) como root no host do hipervisor KVM. Isso ocorre quando um usuário registra um template de VM com a variável `directDownload` definida como true e uma URL apontando para um arquivo .metalink; o servidor de gerenciamento busca o XML e despacha o download para o agente KVM sem revalidar as URLs internas contra a lista de permissões de esquema.

As URLs não são escapadas corretamente dentro do atributo `content` de uma tag `<meta>`. Se o conteúdo da URL inserir espaços em branco ASCII ao redor do caractere `=`, o escapador falha em processá-lo corretamente, o que pode levar ao Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são injetados em sites confiáveis.