Daniel Augusto Veronezi Salvador

**Nome do software vulnerável e versões afetadas** Versões do Apache CloudStack de 4.0.0 a 4.18.2.3 Versões do Apache CloudStack de 4.19.0.0 a 4.19.1.1 **Descrição** O problema surge devido à falta de verificações de validação para modelos ou volumes compatíveis com KVM no Apache CloudStack, permitindo que um invasor capaz de fazer upload ou registrar modelos e volumes implante instâncias maliciosas ou anexe volumes enviados a instâncias existentes em ambientes baseados em KVM. Isso pode resultar no comprometimento da integridade e confidencialidade dos recursos, perda de dados, negação de serviço e disponibilidade da infraestrutura baseada em KVM gerenciada pelo CloudStack. **Recomendações** Para as versões 4.0.0 a 4.18.2.3 do Apache CloudStack, atualize para o Apache CloudStack 4.18.2.4 ou posterior. Para as versões 4.19.0.0 a 4.19.1.1 do Apache CloudStack, atualize para o Apache CloudStack 4.19.1.2 ou posterior. Além disso, os operadores podem verificar todos os modelos e volumes compatíveis com KVM enviados ou registrados pelos usuários para garantir que sejam arquivos simples e não utilizem recursos adicionais ou desnecessários. Isso pode ser feito executando o comando: for file in $(find /path/to/storage/ -type f -regex [a-f0-9-]*.*); do echo “Recuperando informações do arquivo [$file]. Se a saída não estiver vazia, isso pode indicar um disco comprometido; verifique-o cuidadosamente.”; qemu-img info -U $file | grep file: ; printf “ ”; done em seus armazenamentos secundários e inspecionando a saída. Uma saída vazia para o disco que está sendo validado significa que ele não possui referências a