CVE-2026-22598

Wysokie

Opublikowano: 21/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

ManageIQ API przed wersją radjabov-2 zawiera podatność, która pozwala na utworzenie nieprawidłowego obiektu TimeProfile, co powoduje przekroczenie limitu czasu (timeout) w późniejszych żądaniach UI i API, prowadząc do odmowy usługi (DoS).

Ocena ryzyka

Ryzyko przerwania działania platformy zarządzania, co może uniemożliwić administratorom dostęp do interfejsu i API, wpływając na zarządzanie infrastrukturą.

Rekomendacja

Zaleca się aktualizację ManageIQ do wersji radjabov-2 lub zastosowanie ręcznej poprawki.

Inne podatności w ManageIQ

CVE-2026-52903Wysokie
W ManageIQ wykryto podatność deserializacji niezaufanych danych. Moduł YamlLoadAliases nadpisuje YAML.safe_load, aby w środowisku produkcyjnym po cichu przełączyć się na YAML.unsafe_load, gdy wystąpi błąd Psych::DisallowedClass. Uwierzytelniony atakujący z dostępem do importu dialogów może to wykorzystać do zdalnego wykonania kodu poprzez przesłanie spreparowanego ładunku YAML, który wywołuje fallback i deserializuje dowolne obiekty Ruby. Red Hat CloudForms, oparty na ManageIQ, osiągnął koniec życia i nie jest już wspierany. Nie zostaną wydane żadne erraty ani poprawki. To CVE jest przypisane dla dobra społeczności ManageIQ i konsumentów downstream.

Oryginalny opis (angielski, źródło NVD)

ManageIQ is an open-source management platform. A flaw was found in the ManageIQ API prior to version radjabov-2 where a malformed TimeProfile could be created causing later UI and API requests to timeout leading to a Denial of Service. Version radjabov-2 contains a patch. One may also apply the patch manually.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS