CVE-2026-107363
ŚrednieCVSS 6.1Streszczenie
W OpenStack Zaqar przed wersją 23.0.1 transport WebSocket nie wiąże identyfikatora projektu w kolejnych żądaniach z projektem uwierzytelnionym tokenem Keystone. Uwierzytelniony użytkownik z ważnym tokenem dla jednego projektu może podstawić UUID innego projektu, aby wyliczać, przeglądać, tworzyć lub usuwać kolejki należące do tego projektu, co prowadzi do nieautoryzowanego ujawnienia, modyfikacji lub utraty danych kolejek. Dotyczy to tylko wdrożeń używających transportu WebSocket z uwierzytelnianiem Keystone.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do kolejek innych projektów, co może prowadzić do wycieku danych, ich modyfikacji lub usunięcia, naruszając integralność i poufność.
Rekomendacja
Zaktualizuj OpenStack Zaqar do wersji 23.0.1 lub nowszej, aby naprawić podatność.
Inne podatności w OpenStack Zaqar
Zobacz wszystkie- CVE-2026-97404Krytyczne
W OpenStack Zaqar przed wersją 22.0.2 transport WSGI nieprawidłowo obsługuje nagłówek URL-Signature. Wysyłając żądanie z pustym nagłówkiem URL-Signature, nieuwierzytelniony zdalny atakujący znający UUID projektu może ominąć zarówno uwierzytelnianie Keystone, jak i weryfikację wstępnie podpisanych adresów URL, co pozwala na odczyt, wyliczanie, tworzenie i usuwanie kolejek, wiadomości, roszczeń i subskrypcji tego projektu. Dodatkowo, przejmując rolę administracyjną, atakujący może wykonywać operacje administracyjne, takie jak zarządzanie pulami i wariantami we wdrożeniach admin_mode. Podatność dotyczy tylko wdrożeń korzystających z transportu WSGI ze skonfigurowaną strategią uwierzytelniania; transport websocket nie jest podatny.
- CVE-2026-66139Średnie
OpenStack Zaqar do wersji 22.0.0 pozwala na ominięcie uwierzytelniania poprzez nagłówek EXTRA-SPEC, gdy znany jest UUID.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Zaqar before 23.0.1, the WebSocket transport fails to bind the project identifier in subsequent requests to the project authenticated by the Keystone token. An authenticated user with a valid token for one project may substitute another project's UUID to enumerate, inspect, create, or delete queues belonging to that project, resulting in unauthorized disclosure, modification, or loss of queue data. Only deployments using the WebSocket transport with Keystone authentication are affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS