| タイトル | Apache Software FoundationのCloudStackにおける不完全なクリーンアップに関する脆弱性 |
|---|---|
| 概要 | Apache CloudStackを介したバケット削除時にMinIOポリシーのクリーンアップが不十分なため、ユーザーが以前所有していたバケットへのアクセス権を保持してしまう問題があります。別のユーザーが同じ名前で新しいバケットを作成すると、以前の所有者は以前に生成されたアクセスキーおよびシークレットキーを使って不正にそのバケットへの読み取りおよび書き込みアクセスを得る可能性があります。ユーザーは、この問題を修正したApache CloudStackのバージョン4.20.3.0または4.22.0.1以降へのアップグレードを推奨します。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月8日0:00 |
| 登録日 | 2026年5月12日10:21 |
| 最終更新日 | 2026年5月12日10:21 |
| CVSS3.0 : 重要 | |
| スコア | 8.1 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Apache Software Foundation |
| CloudStack 4.19.0.0 以上 4.20.3.0 未満 |
| CloudStack 4.21.0.0 以上 4.22.0.1 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月12日] 掲載 |
2026年5月12日10:21 |
| 概要 | Missing MinIO policy cleanup on bucket deletion via Apache CloudStack allows users to retain access to buckets which they previously owned. If another user creates a new bucket with the same name, the previous owners can gain unauthorized read and write access to it by using the previously generated access and secret keys. Users are recommended to upgrade to Apache CloudStack versions 4.20.3.0 or 4.22.0.1, or later, which fixes this issue. |
|---|---|
| 公表日 | 2026年5月8日22:16 |
| 登録日 | 2026年5月9日4:12 |
| 最終更新日 | 2026年5月11日21:57 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:* | 4.19.0.0 | 4.20.3.0 | |||
| cpe:2.3:a:apache:cloudstack:*:*:*:*:*:*:*:* | 4.21.0.0 | 4.22.0.1 | |||