CVE-2026-40213

WysokieCVSS 7.4

Opublikowano: 07/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

OpenStack Cyborg przed wersją 16.0.1 używa reguły:allow (check_str='@') jako domyślnej polityki dla wielu punktów końcowych API. To bezwarunkowo autoryzuje każde żądanie z ważnym tokenem Keystone, niezależnie od ról, członkostwa w projekcie czy zakresu.

Ocena ryzyka

Zagrożenie polega na tym, że uwierzytelniony użytkownik bez przypisanych ról może wykonywać różne działania, takie jak reprogramowanie bitstreamów FPGA na dowolnych węzłach obliczeniowych, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się aktualizację OpenStack Cyborg do wersji 16.0.1 lub nowszej, aby usunąć tę lukę. Dodatkowo, warto przemyśleć wprowadzenie bardziej restrykcyjnych polityk autoryzacji dla API.

Inne podatności w OpenStack Cyborg

CVE-2026-40214Średnie
W OpenStack Cyborg przed wersją 16.0.1 API Accelerator Request (ARQ) nie wymusza własności projektu na żadnej warstwie. Kolumna project_id w bazie danych nigdy nie jest wypełniana (NULL dla każdego ARQ), zapytania do bazy nie filtrują po projekcie, a kontrole polityk są autoreferencyjne (dekorator authorize_wsgi porównuje project_id wywołującego z samym sobą, a nie z zasobem docelowym).

Oryginalny opis (angielski, źródło NVD)

OpenStack Cyborg before 16.0.1 uses rule:allow (check_str='@') as the default policy for multiple API endpoints. This unconditionally authorizes any request carrying a valid Keystone token regardless of roles, project membership, or scope. An authenticated user with zero role assignments can complete various actions such as reprogramming FPGA bitstreams on arbitrary compute nodes via agent RPC.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS