CVE-2026-97404
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W OpenStack Zaqar przed wersją 22.0.2 transport WSGI nieprawidłowo obsługuje nagłówek URL-Signature. Wysyłając żądanie z pustym nagłówkiem URL-Signature, nieuwierzytelniony zdalny atakujący znający UUID projektu może ominąć zarówno uwierzytelnianie Keystone, jak i weryfikację wstępnie podpisanych adresów URL, co pozwala na odczyt, wyliczanie, tworzenie i usuwanie kolejek, wiadomości, roszczeń i subskrypcji tego projektu. Dodatkowo, przejmując rolę administracyjną, atakujący może wykonywać operacje administracyjne, takie jak zarządzanie pulami i wariantami we wdrożeniach admin_mode. Podatność dotyczy tylko wdrożeń korzystających z transportu WSGI ze skonfigurowaną strategią uwierzytelniania; transport websocket nie jest podatny.
Ocena ryzyka
Nieuwierzytelniony atakujący znający UUID projektu może uzyskać pełny dostęp do kolejek i wiadomości tego projektu, a w niektórych przypadkach wykonywać operacje administracyjne. Może to prowadzić do wycieku danych, ich modyfikacji lub utraty dostępności usługi.
Rekomendacja
Zaktualizuj OpenStack Zaqar do wersji 22.0.2 lub nowszej. Jeśli to możliwe, rozważ przejście na transport websocket lub ograniczenie dostępu sieciowego do interfejsu WSGI.
Inne podatności w OpenStack Zaqar
Zobacz wszystkie- CVE-2026-107363Średnie
W OpenStack Zaqar przed wersją 23.0.1 transport WebSocket nie wiąże identyfikatora projektu w kolejnych żądaniach z projektem uwierzytelnionym tokenem Keystone. Uwierzytelniony użytkownik z ważnym tokenem dla jednego projektu może podstawić UUID innego projektu, aby wyliczać, przeglądać, tworzyć lub usuwać kolejki należące do tego projektu, co prowadzi do nieautoryzowanego ujawnienia, modyfikacji lub utraty danych kolejek. Dotyczy to tylko wdrożeń używających transportu WebSocket z uwierzytelnianiem Keystone.
- CVE-2026-66139Średnie
OpenStack Zaqar do wersji 22.0.0 pozwala na ominięcie uwierzytelniania poprzez nagłówek EXTRA-SPEC, gdy znany jest UUID.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Zaqar before 22.0.2, WSGI transport mishandles the URL-Signature header. By sending a request with an empty URL-Signature header, an unauthenticated remote attacker who knows a target project's UUID may bypass both Keystone authentication and pre-signed URL verification, resulting in the ability to read, enumerate, create, and delete that project's queues, messages, claims, and subscriptions. By additionally claiming an administrative role, the attacker may also perform administrative operations, such as managing pools and flavors in admin_mode deployments. Only deployments using the WSGI transport with an authentication strategy configured are affected; the websocket transport is not affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS