CVE-2026-76878
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W OpenStack Aodh przed 22.0.1, API listy alarmów omija ograniczenia projektu, gdy parametr all_projects jest ustawiony na false. Nieuprawniony użytkownik z rolą reader może wyświetlić alarmy ze wszystkich projektów, ujawniając wrażliwe dane. Dodatkowo OpenStack Watcher nie egzekwuje autoryzacji na swoim endpointcie webhook, co pozwala uwierzytelnionym użytkownikom uruchamiać audyty EVENT.
Ocena ryzyka
Naruszenie poufności danych – wyciek wrażliwych informacji (np. adresów webhook, identyfikatorów projektów) oraz możliwość nieautoryzowanego uruchamiania audytów, co może prowadzić do niekontrolowanych działań w środowisku chmurowym.
Rekomendacja
Zaktualizuj OpenStack Aodh do wersji 22.0.1 lub nowszej oraz zastosuj poprawki dla OpenStack Watcher w celu egzekwowania polityk autoryzacji.
Powiązane podatności
- CVE-2026-19117Krytyczne
W określonych warunkach atakujący może zarejestrować kontrolowany przez siebie klucz FIDO2 dla konta ofiary, a następnie uwierzytelnić się jako ten użytkownik. Podatność dotyczy wyłącznie wdrożeń lokalnych (on-premises).
- CVE-2026-66786Krytyczne
W Submariner w trybie cert-auth konfiguracja połączenia jest budowana z niesprawdzonych ciągów znaków z definicji CRD. Złośliwy klaster może opublikować CableName zawierający znaki nowej linii i dyrektywy ipsec.conf, co pozwala na wstrzyknięcie dowolnych parametrów konfiguracyjnych lub wykonanie poleceń przez hooki leftupdown, prowadząc do zdalnego wykonania kodu jako root na węźle bramy.
- CVE-2026-53671Krytyczne
W weryfikatorze eBPF PREVAIL przed wersją 0.2.4 abstrakcyjny transformer traktuje zapisy przez rejestr bazowy typu T_CTX jako cichą operację no-op. Atakujący może stworzyć program eBPF, który nadpisuje pole kontekstu (np. ctx->data), przeładowuje je jako T_PACKET i dereferencjonuje adres kontrolowany przez atakującego, a PREVAIL uzna program za bezpieczny.
- CVE-2026-53670Krytyczne
W weryfikatorze eBPF PREVAIL przed wersją 0.2.4 funkcja EbpfTransformer::add() pomija aktualizacje offsetu, gdy rejestr docelowy ma niejednoznaczny zestaw typów. Kolejne sprawdzenia granic używają nieaktualnego offsetu i akceptują dostęp do pamięci poza zakresem, przez co spreparowany program BPF przechodzi weryfikację, mimo że w czasie wykonania uszkodziłby pamięć.
- CVE-2026-53649Krytyczne
Framework Joro przed wersją 1.1.1 w domyślnym trybie proxy udostępnia lokalne API na 127.0.0.1:9090 bez uwierzytelnienia i z polityką CORS na wildcard. Złośliwa strona internetowa może wysyłać żądania do wrażliwych endpointów, w tym przesyłać natywną wtyczkę i wywołać restart, co prowadzi do zdalnego wykonania kodu jako użytkownik operatora.
- CVE-2026-20279Krytyczne
Podatność w oprogramowaniu Cisco IOS XR dotyczy problemów z nieprawidłową kontrolą dostępu (CWE-284). Została wykryta podczas wewnętrznego przeglądu bezpieczeństwa i została naprawiona w wydaniach wzmacniających oprogramowanie.
- CVE-2026-20274Krytyczne
Podatność w oprogramowaniu Cisco IOS XR dotyczy problemów z nieprawidłową kontrolą zasobów (CWE-664). Została wykryta podczas wewnętrznego przeglądu bezpieczeństwa i została naprawiona w wydaniach wzmacniających oprogramowanie.
- CVE-2026-20212Krytyczne
Podatność w integracji Silicon One dla przełączników Cisco Nexus 9000 pozwala nieuwierzytelnionemu atakującemu zdalnie wykonać kod z uprawnieniami root. Porty TCP 43210 i 43211 są dostępne w domyślnej VRF L3, a wysłanie spreparowanych danych może doprowadzić do wykonania kodu lub awarii procesu S1HAL i przeładowania urządzenia.
- CVE-2026-53611Krytyczne
Looking Glass przed wersją 1.3.5 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego wynikającą z niezakotwiczonego wyrażenia regularnego w warstwie walidacji wejścia. Podatność została naprawiona w wersji 1.3.5.
- CVE-2026-82955Krytyczne
W bieżącej wersji rozwojowej Eclipse aeriOS, w komponencie API Gateway, parametr disable_jwk_security był na stałe ustawiony na true, co wyłączało weryfikację certyfikatów TLS podczas pobierania JWKS. Umożliwiało to atakującemu przechwycenie komunikacji i dostarczenie złośliwego JWKS, co mogło naruszyć walidację tokenów. Problem został naprawiony poprzez uczynienie parametru konfigurowalnym i domyślnie ustawionym na false.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Aodh before 22.0.1, the alarm list API bypasses project scoping when the all_projects query parameter is set to false. The API checks for the presence of the all_projects key rather than its value; a true value enforces the administrator-only policy, but a false value removes the key and skips the branch that normally restricts results to the caller's project. A non-admin user with the reader role can list alarms from all projects, exposing alarm actions containing trust webhook URLs, Heat signal endpoints, project IDs, and user IDs. The parameter can also be combined with a foreign project_id to target a specific project's alarms. A related concern is that OpenStack Watcher does not apply authorization to its webhook trigger endpoint. Any authenticated user who learns an audit's webhook URL, for example from this leaked Aodh alarm metadata, can start an EVENT audit and its associated action plan regardless of their own project or role. The webhook endpoint has lacked policy enforcement since its introduction in the Ussuri release (Watcher 4.0.0).