CVE-2026-93860
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W OpenStack Mistral do wersji 23.0.0, kontroler API /v2/maintenance czyści kontekst żądania i wywołuje usługę konserwacji bezpośrednio bez żadnej kontroli polityk. Każdy posiadacz ważnego tokena Mistral, niezależnie od przypisanej roli, może odczytać i zmienić stan konserwacji całego klastra.
Ocena ryzyka
Ustawienie stanu na PAUSED zatrzymuje przetwarzanie nowych obiektów workflow i execution we wszystkich projektach, co prowadzi do przerwy w działaniu usług.
Rekomendacja
Zaktualizuj OpenStack Mistral do wersji nowszej niż 23.0.0, jeśli dostępna jest poprawka. Ogranicz dostęp do API konserwacji i egzekwuj polityki.
Inne podatności w OpenStack Mistral
Zobacz wszystkie- CVE-2026-41283Krytyczne
OpenStack Mistral do wersji 22.0.0 zawiera podatność na zdalne wykonanie kodu, gdy API jest wystawione. Istnieją endpointy umożliwiające wykonanie kodu, co może prowadzić do wycieku poświadczeń usługi.
- CVE-2026-97147Wysokie
W OpenStack Mistral do wersji 23.0.0, kilka ścieżek zapisu API v2 rozwiązuje docelowy obiekt zapytaniem, które może zwrócić zasób innego projektu, a następnie do niego zapisuje. Uwierzytelniony członek projektu może użyć tego do przepisania i cofnięcia publikacji definicji akcji i środowisk innego projektu.
- CVE-2026-93861Średnie
W OpenStack Mistral do wersji 23.0.0, API członkostwa przepływów pracy pozwala projektowi, który zaakceptował udział w prywatnym przepływie pracy innego projektu, na utworzenie kolejnego członkostwa wskazującego trzeci projekt. Nowy wiersz członkostwa jest tworzony z project_id ustawionym na projekt akceptujący, a nie na pierwotnego właściciela przepływu, więc właściciel nie może go zobaczyć ani usunąć. Trzeci projekt może zaakceptować to członkostwo (które nie zostało faktycznie przyznane przez właściciela), a następnie czytać i wykonywać prywatny przepływ pracy właściciela; tylko projekt akceptujący (nie właściciel) może później cofnąć ten dostęp.
- CVE-2026-93858Wysokie
W OpenStack Mistral do wersji 23.0.0 akcja std.ssh_proxied przekazuje wartość proxy_command dostarczoną przez wywołującego bezpośrednio do paramiko.ProxyCommand() przed próbą połączenia SSH. Uwierzytelniony członek projektu może użyć standardowego API do wykonania dowolnego lokalnego polecenia jako proxy_command, które jest uruchamiane jako podproces na hoście wykonawcy. Dotyczy to domyślnej konfiguracji, która zezwala na akcję std.ssh_proxied.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Mistral through 23.0.0, the /v2/maintenance API controller clears the request context and calls the maintenance service directly without any policy enforcement. Any holder of a valid Mistral token, regardless of assigned role, can read and change the service's cluster-wide maintenance state. Setting the state to PAUSED stops processing of new workflow and execution objects across all tenant projects until an operator restores it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS