CVE-2026-93860
WysokieCVSS 7.1Streszczenie
W OpenStack Mistral do wersji 23.0.0, kontroler API /v2/maintenance czyści kontekst żądania i wywołuje usługę konserwacji bezpośrednio bez żadnej kontroli polityk. Każdy posiadacz ważnego tokena Mistral, niezależnie od przypisanej roli, może odczytać i zmienić stan konserwacji całego klastra.
Ocena ryzyka
Ustawienie stanu na PAUSED zatrzymuje przetwarzanie nowych obiektów workflow i execution we wszystkich projektach, co prowadzi do przerwy w działaniu usług.
Rekomendacja
Zaktualizuj OpenStack Mistral do wersji nowszej niż 23.0.0, jeśli dostępna jest poprawka. Ogranicz dostęp do API konserwacji i egzekwuj polityki.
Inne podatności w OpenStack Mistral
Zobacz wszystkie- CVE-2026-97147Wysokie
W OpenStack Mistral do wersji 23.0.0, kilka ścieżek zapisu API v2 rozwiązuje docelowy obiekt zapytaniem, które może zwrócić zasób innego projektu, a następnie do niego zapisuje. Uwierzytelniony członek projektu może użyć tego do przepisania i cofnięcia publikacji definicji akcji i środowisk innego projektu.
- CVE-2026-93861Średnie
W OpenStack Mistral do wersji 23.0.0, API członkostwa przepływów pracy pozwala projektowi, który zaakceptował udział w prywatnym przepływie pracy innego projektu, na utworzenie kolejnego członkostwa wskazującego trzeci projekt. Nowy wiersz członkostwa jest tworzony z project_id ustawionym na projekt akceptujący, a nie na pierwotnego właściciela przepływu, więc właściciel nie może go zobaczyć ani usunąć. Trzeci projekt może zaakceptować to członkostwo (które nie zostało faktycznie przyznane przez właściciela), a następnie czytać i wykonywać prywatny przepływ pracy właściciela; tylko projekt akceptujący (nie właściciel) może później cofnąć ten dostęp.
- CVE-2026-93858Wysokie
W OpenStack Mistral do wersji 23.0.0 akcja std.ssh_proxied przekazuje wartość proxy_command dostarczoną przez wywołującego bezpośrednio do paramiko.ProxyCommand() przed próbą połączenia SSH. Uwierzytelniony członek projektu może użyć standardowego API do wykonania dowolnego lokalnego polecenia jako proxy_command, które jest uruchamiane jako podproces na hoście wykonawcy. Dotyczy to domyślnej konfiguracji, która zezwala na akcję std.ssh_proxied.
- CVE-2026-41283Krytyczne
OpenStack Mistral do wersji 22.0.0 zawiera podatność na zdalne wykonanie kodu, gdy API jest wystawione. Istnieją endpointy umożliwiające wykonanie kodu, co może prowadzić do wycieku poświadczeń usługi.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Mistral through 23.0.0, the /v2/maintenance API controller clears the request context and calls the maintenance service directly without any policy enforcement. Any holder of a valid Mistral token, regardless of assigned role, can read and change the service's cluster-wide maintenance state. Setting the state to PAUSED stops processing of new workflow and execution objects across all tenant projects until an operator restores it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS