CVE-2026-93852

WysokieCVSS 7.1

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

W OpenStack Blazar przed wersją 17.0.1, operacja listowania dzierżaw V2 (GET /v2/leases) zwraca dzierżawy wszystkich projektów bez egzekwowania ograniczeń projektowych lub polityki administratora. Każdy uwierzytelniony użytkownik może wyliczyć dzierżawy innych dzierżawców, ujawniając identyfikatory dzierżaw, rezerwacji, zasobów i metadane rezerwacji.

Ocena ryzyka

Ujawnienie identyfikatorów dzierżaw i metadanych może umożliwić atakującemu dalsze ataki, w tym modyfikację lub usunięcie dzierżaw innych użytkowników.

Rekomendacja

Zaktualizuj OpenStack Blazar do wersji 17.0.1 lub nowszej, która egzekwuje odpowiednie ograniczenia dostępu.

Inne podatności w OpenStack Blazar

CVE-2026-93854Wysokie
W OpenStack Blazar przed wersją 17.0.1, API dzierżaw V2 nie egzekwuje autoryzacji na poziomie obiektu dla operacji aktualizacji i usuwania (PUT i DELETE /v2/leases/{lease_id}). Z powodu błędu w nazewnictwie parametrów, autoryzacja nie sprawdza właściciela dzierżawy, co pozwala każdemu uwierzytelnionemu użytkownikowi na modyfikację lub usunięcie dzierżaw innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

In OpenStack Blazar before 17.0.1, the V2 lease listing operation (GET /v2/leases) returns leases for every project without enforcing project scoping or an administrator-only policy. Any authenticated user with access to the Blazar REST API can enumerate leases belonging to other tenants, exposing lease IDs, reservation IDs, resource IDs, and reservation metadata. The exposed lease IDs also enable the object-level authorization bypass tracked in the companion request, allowing an attacker to then modify or delete the enumerated leases.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS