All errata/sisyphus/ALT-PU-2025-16820-1
ALT-PU-2025-16820-1

Package update cloud-init in branch sisyphus

Version25.1.4-alt1
Task#389808
Published2025-07-28
Max severityHIGH
Severity:

Closed issues (4)

BDU:2025-10809
HIGH8.8

Уязвимость инструмента инициализации облачных виртуальных машин Cloud-Init, связанная с недостатками процедуры аутентификации, позволяющая нарушителю повысить свои привилегии до уровня root

Published: 2025-09-08Modified: 2026-04-20
CVSS 3.xHIGH 8.8
CVSS:3.x/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS 2.0HIGH 8.3
CVSS:2.0/AV:A/AC:L/Au:N/C:C/I:C/A:C
References
BDU:2025-10929
MEDIUM5.9

Уязвимость инструмента для настройки облачного сервера Cloud-init, связанная с неправильным присвоением разрешений для критичного ресурса, позволяющая нарушителю выполнять произвольные команды

Published: 2025-09-10Modified: 2026-04-20
CVSS 3.xMEDIUM 5.9
CVSS:3.x/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
CVSS 2.0MEDIUM 4.6
CVSS:2.0/AV:L/AC:L/Au:N/C:P/I:P/A:P
References
CVE-2024-11584
MEDIUM5.3

cloud-init through 25.1.2 includes the systemd socket unit cloud-init-hotplugd.socket with default SocketMode that grants 0666 permissions, making it world-writable. This is used for the "/run/cloud-init/hook-hotplug-cmd" FIFO. An unprivileged user could trigger hotplug-hook commands.

Published: 2025-06-26Modified: 2025-09-05
CVSS 3.xMEDIUM 5.3
CVSS:3.x/CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
References
CVE-2024-6174
HIGH8.8

When a non-x86 platform is detected, cloud-init grants root access to a hardcoded url with a local IP address. To prevent this, cloud-init default configurations disable platform enumeration.

Published: 2025-06-26Modified: 2025-08-26
CVSS 3.xHIGH 8.8
CVSS:3.x/CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
References