CVE-2026-71198
WysokieCVSS 7.0Streszczenie
W OpenStack Glance przed wersją 32.0.1 API lokalizacji nie waliduje hostów docelowych przy dodawaniu lokalizacji HTTP do obrazu. W przeciwieństwie do ścieżki importu web-download, API lokalizacji sprawdza tylko schemat URL i nie stosuje ograniczeń hostów z import_filtering_opts. Uwierzytelniony użytkownik może dodać lokalizację wskazującą na wewnętrzne punkty końcowe, takie jak usługa metadanych chmury (169.254.169.254), i pobrać odpowiedź poprzez pobranie danych obrazu.
Ocena ryzyka
Podatność umożliwia uwierzytelnionemu użytkownikowi dostęp do wewnętrznych usług, w tym metadanych chmury, co może prowadzić do wycieku poufnych informacji i eskalacji uprawnień w środowisku chmurowym.
Rekomendacja
Należy zaktualizować OpenStack Glance do wersji 32.0.1 lub nowszej, a jeśli to niemożliwe, wyłączyć backend HTTP store lub ograniczyć możliwość dodawania lokalizacji HTTP.
Inne podatności w OpenStack Glance
Zobacz wszystkie- CVE-2026-77648Niskie
OpenStack Glance do wersji 32.0.0 włącznie, w API /v2/tasks akceptuje zadania typu import, które omijają opcje import_filtering_opts, umożliwiając administratorowi pobieranie wewnętrznych adresów URL z sieci usługi Glance (SSRF).
- CVE-2026-34881Średnie
OpenStack Glance przed wersjami 29.1.1, 30.1.1 oraz 31.0.0 jest podatny na atak SSRF (Server-Side Request Forgery). Uwierzytelniony użytkownik może wykorzystać przekierowania HTTP, aby ominąć walidację URL-i i uzyskać dostęp do wewnętrznych usług. Podatność dotyczy wyłącznie funkcji importowania obrazów, w szczególności metod web-download i glance-download oraz opcjonalnego wtyczki ovf_process.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Glance before 32.0.1, the location API does not validate destination hosts when adding an HTTP location to an image. Unlike the web-download import path, the location API only checks the URL scheme and does not apply the import_filtering_opts host restrictions. An authenticated user can add a location pointing to internal endpoints such as the cloud metadata service (169.254.169.254), and retrieve the response by downloading the image data. This affects both the new POST /v2/images/{id}/locations API and the old PATCH API when show_multiple_locations is enabled. Deployments with the HTTP store backend enabled are affected.