CVE-2026-25199: Apache CloudStack, extensão Proxmox: acesso entre tenants a instâncias
A CVE-2026-25199 afeta a extensão Proxmox do Apache CloudStack, que usa uma configuração de instância editável pelo usuário para associar instâncias do CloudStack a máquinas virtuais Proxmox sem verificar a propriedade pelo tenant. O aviso indica que isso pode permitir acesso não autorizado a VMs de outros tenants, incluindo iniciar, parar e destruir essas máquinas. O registro informa CVSS 3.1 de 9.1, recomenda atualizar para a versão 4.22.0.1 e não mostra exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-25199 é uma questão crítica na extensão Proxmox do Apache CloudStack. Segundo o registro, a extensão usa o detalhe de instância editável pelo usuário proxmox_vmid para vincular instâncias do CloudStack a máquinas virtuais Proxmox, e esse vínculo não é verificado quanto à propriedade pelo tenant.
Impacto
A descrição afirma que um usuário sem privilégios poderia alterar essa configuração para referenciar uma VM de outra conta. O registro diz que isso possibilita acesso entre tenants não autorizado e controle total da VM alvo, incluindo iniciar, parar e destruir a máquina. A CNA e a CISA-ADP atribuem à questão CVSS 3.1 de 9.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. A fraqueza é classificada como CWE-200.
Produtos e versões afetadas
O registro lista o Apache Software Foundation CloudStack. A descrição indica que a questão afeta versões de 4.21.0.0 até 4.22.0.0, e as entradas de afetados descrevem o intervalo como 4.21.0.0 ou superior e inferior a 4.22.0.1.
Situação de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.005 e o campo de exploração do SSVC é none, enquanto o campo de automatizável do SSVC é yes.
Correção e mitigação
- Atualize o CloudStack para a versão 4.22.0.1, que a descrição indica corrigir esta questão.
- Para instalações que não podem atualizar imediatamente, a descrição recomenda adicionar o nome de detalhe proxmox_vmid ao parâmetro de configuração global user.vm.denied.details, o que impede os usuários de editar esse detalhe.
- Revise os detalhes de instância existentes que vinculam instâncias do CloudStack a VMs Proxmox e identifique divergências com a propriedade pelo tenant.
Orientação para detecção
- Revise registros de auditoria e configuração em busca de alterações no detalhe de instância proxmox_vmid, especialmente as feitas por contas não administrativas.
- Verifique se instâncias do CloudStack estão mapeadas para VMs Proxmox pertencentes a outras contas ou tenants.
- Monitore mudanças inesperadas de estado de energia ou exclusões de VMs Proxmox que coincidam com atividade de tenants.
Limitações das informações disponíveis
O campo de correções do registro está vazio, por isso o commit de correção ou os detalhes do patch não estão disponíveis aqui; a versão corrigida vem da descrição. O registro não fornece detalhes públicos de exploração, e esta análise não trata de outras distribuições ou forks. Não se afirma se a solução alternativa cobre todos os caminhos de acesso.
Perguntas frequentes
Quais versões do Apache CloudStack são afetadas pela CVE-2026-25199?
A descrição indica que a questão afeta versões de 4.21.0.0 até 4.22.0.0. As entradas de afetados descrevem o intervalo como 4.21.0.0 ou superior e inferior a 4.22.0.1.
Qual versão corrige esta questão?
A descrição recomenda atualizar para a versão 4.22.0.1, que, segundo ela, corrige a questão.
Há exploração conhecida desta vulnerabilidade?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.