CVE-2026-83536

ŚrednieCVSS 5.3

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

W openstack-network-exporter znaleziono błąd: serwer HTTP w komponencie jest skonfigurowany bez niezbędnych ustawień limitu czasu, takich jak ReadHeaderTimeout. Ta podatność pozwala nieuwierzytelnionemu, zdalnemu atakującemu na inicjowanie wielu wolnych połączeń HTTP z nagłówkami. Poprzez powolne wysyłanie bajtów nagłówka atakujący może wyczerpać zasoby serwera, w szczególności deskryptory plików, prowadząc do odmowy usługi (DoS), która uniemożliwia legalne skrobanie metryk Prometheus i alertowanie.

Ocena ryzyka

Atak może doprowadzić do niedostępności monitorowania, co utrudni wykrywanie awarii i reagowanie na incydenty.

Rekomendacja

Skonfiguruj odpowiednie limity czasu (np. ReadHeaderTimeout) w serwerze HTTP oraz rozważ ograniczenie dostępu do portu monitorowania.

Inne podatności w openstack-network-exporter

CVE-2026-83535Wysokie
W openstack-network-exporter wykryto błąd fail-open: gdy operator skonfiguruje uwierzytelnianie użytkownika, ale pominie lub błędnie skonfiguruje TLS, mechanizm basic authentication jest po cichu pomijany. Atakujący z sąsiedniej sieci może wtedy bez poświadczeń uzyskać dostęp do metryk dataplane OVS i OVN.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in openstack-network-exporter. The HTTP server within the component is configured without essential timeout settings, such as ReadHeaderTimeout. This vulnerability allows an unauthenticated, remote attacker to initiate multiple slow HTTP header connections. By trickling header bytes, the attacker can exhaust server resources, specifically file descriptors, leading to a Denial of Service (DoS) that prevents legitimate Prometheus metric scraping and alerting.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS