CVE-2026-61400

Nome do Software Vulnerável e Versões Afetadas Apache CloudStack versões 4.20.0.0 até 4.20.3.0 Apache CloudStack versões 4.21.0.0 até 4.22.1.0

Description Ocorre Injeção de Comando na funcionalidade de execução e obtenção de diagnósticos para VMs do sistema e roteadores virtuais. Um usuário autenticado com as permissões necessárias pode executar comandos arbitrários em instâncias de VM do sistema e Roteador Virtual, operando como root ou como o usuário diagnostics-process. Isso pode levar ao comprometimento total da instância e, potencialmente, permitir a movimentação lateral dentro da infraestrutura gerenciada, incluindo o acesso ao tráfego de rede dos convidados. Os endpoints de API afetados são getDiagnosticsData e runDiagnostics, que são restritos a contas com a função de Administrador por padrão.

Recommendations Atualizar as versões 4.20.0.0 até 4.20.3.0 para a versão 4.20.3.1 ou posterior. Atualizar as versões 4.21.0.0 até 4.22.1.0 para a versão 4.22.1.1 ou posterior. Restringir o acesso aos endpoints de API getDiagnosticsData e runDiagnostics para minimizar o risco de exploração.