JVNDB-2026-015126

Apache Software FoundationのCloudStackにおける不完全なクリーンアップに関する脆弱性

Apache CloudStackを介したバケット削除時にMinIOポリシーのクリーンアップが不十分なため、ユーザーが以前所有していたバケットへのアクセス権を保持してしまう問題があります。別のユーザーが同じ名前で新しいバケットを作成すると、以前の所有者は以前に生成されたアクセスキーおよびシークレットキーを使って不正にそのバケットへの読み取りおよび書き込みアクセスを得る可能性があります。ユーザーは、この問題を修正したApache CloudStackのバージョン4.20.3.0または4.22.0.1以降へのアップグレードを推奨します。

Apache Software Foundation

• CloudStack 4.19.0.0 以上 4.20.3.0 未満
• CloudStack 4.21.0.0 以上 4.22.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : [ADVISORY] Apache CloudStack LTS Security Releases 4.20.3.0 and 4.22.0.1-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2025-66467: Apache CloudStack: MinIO policy remains intact on bucket deletion

1. 不完全なクリーンアップ(CWE-459) [その他]

1. CVE-2025-66467

1. National Vulnerability Database (NVD) : CVE-2025-66467

• [2026年05月12日]
    掲載