製品・ソフトウェアに関する情報
Vulnerability Search
Apache Software FoundationのCloudStackにおける不完全なクリーンアップに関する脆弱性
Title Apache Software FoundationのCloudStackにおける不完全なクリーンアップに関する脆弱性
Summary

Apache CloudStackを介したバケット削除時にMinIOポリシーのクリーンアップが不十分なため、ユーザーが以前所有していたバケットへのアクセス権を保持してしまう問題があります。別のユーザーが同じ名前で新しいバケットを作成すると、以前の所有者は以前に生成されたアクセスキーおよびシークレットキーを使って不正にそのバケットへの読み取りおよび書き込みアクセスを得る可能性があります。ユーザーは、この問題を修正したApache CloudStackのバージョン4.20.3.0または4.22.0.1以降へのアップグレードを推奨します。

Possible impacts 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date May 8, 2026, midnight
Registration Date May 12, 2026, 10:21 a.m.
Last Update May 12, 2026, 10:21 a.m.
CVSS3.0 : 重要
Score 8.1
Vector CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Affected System
Apache Software Foundation
CloudStack 4.19.0.0 以上 4.20.3.0 未満
CloudStack 4.21.0.0 以上 4.22.0.1 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年05月12日]
  掲載		 May 12, 2026, 10:21 a.m.
NVD Vulnerability Information
CVE-2025-66467
Summary

Missing MinIO policy cleanup on bucket deletion via Apache CloudStack allows users to retain access to buckets which they previously owned. If another user creates a new bucket with the same name, the previous owners can gain unauthorized read and write access to it by using the previously generated access and secret keys.

Users are recommended to upgrade to Apache CloudStack versions 4.20.3.0 or 4.22.0.1, or later, which fixes this issue.

Publication Date May 8, 2026, 10:16 p.m.
Registration Date May 9, 2026, 4:12 a.m.
Last Update May 11, 2026, 9:57 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:* 4.19.0.0 4.20.3.0
cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:* 4.21.0.0 4.22.0.1
Related information, measures and tools
Common Vulnerabilities List