Vulnerabilidad en CloudStack (CVE-2024-29008)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-20
Validación incorrecta de entrada
Fecha de publicación:
04/04/2024
Última modificación:
30/06/2025
Descripción
Se ha identificado un problema en la función de configuración adicional de VM (extraconfig) de CloudStack que puede ser utilizada indebidamente por cualquier persona que tenga privilegios para implementar una instancia de VM o configurar los ajustes de una instancia de VM ya implementada, para modificar ajustes adicionales de VM incluso cuando la función no está habilitado explícitamente por el administrador. En un entorno CloudStack basado en KVM, un atacante puede aprovechar este problema para conectar dispositivos host, como discos de almacenamiento, y dispositivos PCI y USB, como adaptadores de red y GPU, en una instancia de VM normal que puede explotarse aún más para obtener acceso a recursos de infraestructura de red y almacenamiento, y acceder a cualquier disco de instancia de VM en el almacenamiento local. Se recomienda a los usuarios que actualicen a la versión 4.18.1.1 o 4.19.0.1, que soluciona este problema.
Impacto
Puntuación base 3.x
6.40
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:* | 4.14.0.0 (incluyendo) | 4.18.1.1 (excluyendo) |
cpe:2.3:a:apache:cloudstack:4.19.0.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página