CVE-2026-50112
Beschreibung
SSRF über Metalink Mirror URL Resolution: Ein authentifizierter Mandant kann eine Vorlage registrieren, die auf eine vom Angreifer kontrollierte Metalink-Datei mit internen Zielen verweist. Die Secondary Storage VM wird die Daten abrufen und als Vorlagendatei beibehalten, die später über normale APIs heruntergeladen werden kann. RCE auf KVM Hypervisor via NFS, Metalink-Dateien mit/ohne Direct Downloads: Ein authentifizierter CloudStack-Mandant mit der Standard-Benutzerrolle kann beliebige Shell-Befehle als root auf dem KVM-Hypervisor-Host ausführen, der die VMs anderer Mandanten ausführt. Dies ist Cross-Tenant-Root auf dem zugrunde liegenden Compute, erreichbar über die öffentliche CloudStack-API. Wenn ein Benutzer eine VM-Vorlage mit directDownload=true und einer URL registriert, die auf eine .metalink-Datei verweist, holt der Verwaltungsserver die Metallinte XML und sendet den Download an den KVM-Agenten. Innere URLs innerhalb des Metalink-XML werden niemals gegen die Scheme Allowlist erneut validiert. Diese Probleme betreffen Apache CloudStack: von 4.14.0.0 bis 4.20.3.0 und von 4.21.0.0 bis 4.22.1.0. Benutzern wird empfohlen, auf Version 4.20.3.1 oder 4.22.1.1 oder höher zu aktualisieren, wodurch das Problem behoben wird.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation cloudstack.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.