CVE-2026-40214

ŚrednieCVSS 6.3

Opublikowano: 07/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

W OpenStack Cyborg przed wersją 16.0.1 API Accelerator Request (ARQ) nie wymusza własności projektu na żadnej warstwie. Kolumna project_id w bazie danych nigdy nie jest wypełniana (NULL dla każdego ARQ), zapytania do bazy nie filtrują po projekcie, a kontrole polityk są autoreferencyjne (dekorator authorize_wsgi porównuje project_id wywołującego z samym sobą, a nie z zasobem docelowym).

Ocena ryzyka

Każdy uwierzytelniony użytkownik niebędący administratorem może wykonywać różne akcje, takie jak usuwanie ARQ powiązanych z instancjami innych projektów, co stanowi odmowę usługi między dzierżawcami (cross-tenant denial of service).

Rekomendacja

Zaktualizuj OpenStack Cyborg do wersji 16.0.1 lub nowszej. Do czasu aktualizacji ogranicz dostęp do API ARQ i monitoruj nietypowe operacje na ARQ.

Inne podatności w OpenStack Cyborg

CVE-2026-40213Wysokie
OpenStack Cyborg przed wersją 16.0.1 używa reguły:allow (check_str='@') jako domyślnej polityki dla wielu punktów końcowych API. To bezwarunkowo autoryzuje każde żądanie z ważnym tokenem Keystone, niezależnie od ról, członkostwa w projekcie czy zakresu.

Oryginalny opis (angielski, źródło NVD)

In OpenStack Cyborg before 16.0.1, the Accelerator Request (ARQ) API does not enforce project ownership at any layer. The project_id column in the database is never populated (NULL for every ARQ), database queries have no project filtering, and policy checks are self-referential (the authorize_wsgi decorator compares the caller's project_id with itself rather than the target resource). Any authenticated non-admin user can complete various actions such as deleting ARQs bound to other projects' instances, aka cross-tenant denial of service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS