CVE-2026-71193
KrytyczneCVSS 9.6Streszczenie
W OpenStack Designate przed wersją 22.0.1, sprawdzenia tworzenia stref (podstref, nadstref i ograniczenie duplikatów w bazie) są ograniczone tylko do docelowej puli. Uwierzytelniony użytkownik może je ominąć, planując strefę do innej puli przez scheduler AttributeFilter, tworząc nakładającą się strefę, która koliduje ze strefą innego dzierżawcy. Umożliwia to przejęcie DNS między dzierżawcami (przekierowanie ruchu na adresy IP kontrolowane przez atakującego) oraz atak DoS na DNS (odpowiedzi NODATA). Wymaga to wdrożenia z wieloma pulami i włączonym AttributeFilter w scheduler_filters, co jest konfiguracją niedomyślną, ale udokumentowaną i wspieraną.
Ocena ryzyka
Przejęcie DNS może przekierować ruch klientów na złośliwe serwery, a atak DoS może uniemożliwić rozwiązywanie nazw, co prowadzi do utraty dostępności usług.
Rekomendacja
Zaktualizuj OpenStack Designate do wersji 22.0.1 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Designate before 22.0.1, zone creation checks (_is_subzone, _is_superzone, and the duplicate-zone DB constraint) are scoped to the target pool only. An authenticated user can bypass these checks by scheduling a zone to a different pool via the AttributeFilter scheduler, creating an overlapping zone that conflicts with another tenant's zone. This enables cross-tenant DNS hijack (redirecting traffic to attacker-controlled IPs) and DNS denial of service (NODATA responses). Exploitation requires a multi-pool deployment with AttributeFilter enabled in scheduler_filters, which is a non-default but documented and supported configuration for self-service tiering.