-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Apache CloudStack
Advisory ID     : NCSC-2026-0332
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-47359, CVE-2026-50112, CVE-2026-50222,
                  CVE-2026-59085, CVE-2026-59655, CVE-2026-59657,
                  CVE-2026-59780, CVE-2026-59799, CVE-2026-61397,
                  CVE-2026-61398, CVE-2026-61399, CVE-2026-61400,
                  CVE-2026-61422, CVE-2026-62440, CVE-2026-65613,
                  CVE-2026-66721, CVE-2026-66722, CVE-2026-66797,
                  CVE-2026-68745
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Special Elements used in a
                  Command ('Command Injection')
                  Improper Neutralization of Special Elements used in an
                  OS Command ('OS Command Injection')
                  Improper Encoding or Escaping of Output
                  Encoding Error
                  Improper Certificate Validation
                  Missing Authentication for Critical Function
                  Cleartext Storage of Sensitive Information
                  Improper Verification of Cryptographic Signature
                  Missing Authorization
                  Server-Side Request Forgery (SSRF)
Uitgiftedatum   : 20260827
Toepassing      : Apache Software Foundation CloudStack
Versie(s)       :
Platform(s)     :

Beschrijving
   Apache heeft meerdere kwetsbaarheden verholpen in Apache CloudStack,
   specifiek in versies 4.12.0.0 tot en met 4.22.1.0.

   De kwetsbaarheden betreffen onder andere OS Command Injection in de
   NAS backup provider plugin, Server-Side Request Forgery (SSRF) in
   verschillende modules zoals metalink mirror URL resolutie en webhook,
   onvoldoende toegangscontrole in userdata-gerelateerde API's, OAuth en
   LDAP authenticatie plugins, en improper privilege management in de
   two-factor authentication plugin.
   Verder zijn er kwetsbaarheden in de user interface met betrekking tot
   onjuiste encoding of escaping, command injection in diagnostics APIs,
   en improper access control in Kubernetes Service plugin en annotation
   APIs. Ook is er een kwetsbaarheid in de SAML certificaatvalidatie die
   het mogelijk maakt om authenticatie te omzeilen.
   Sommige kwetsbaarheden maken het mogelijk voor geauthenticeerde
   gebruikers om root- of administratieve commando's uit te voeren op
   KVM hypervisor hosts, systeem virtual machines en virtual routers, of
   om ongeautoriseerde toegang te verkrijgen tot gevoelige informatie en
   tenant data. Daarnaast is er een kwetsbaarheid in de listHostTags API
   die domeinrestricties kan omzeilen, en een issue in
   projectrollenbeheer door domeinbeheerders.
   De kwetsbaarheden zijn aanwezig in meerdere opeenvolgende versies van
   Apache CloudStack en betreffen zowel core functionaliteiten als
   plugins en API's.

Mogelijke oplossingen
   Apache heeft updates uitgebracht in versies 4.20.3.1 en 4.22.1.1 of
   later om de genoemde kwetsbaarheden te verhelpen. Zie bijgevoegde
   referenties voor meer informatie.

   Referenties:
      Reference
      https://cloudstack.apache.org/blog/security-release-
      advisory-4.20.3.1-4.22.1.1

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=wGNP
-----END PGP SIGNATURE-----