CVE-2026-93861
ŚrednieCVSS 6.0Streszczenie
W OpenStack Mistral do wersji 23.0.0, API członkostwa przepływów pracy pozwala projektowi, który zaakceptował udział w prywatnym przepływie pracy innego projektu, na utworzenie kolejnego członkostwa wskazującego trzeci projekt. Nowy wiersz członkostwa jest tworzony z project_id ustawionym na projekt akceptujący, a nie na pierwotnego właściciela przepływu, więc właściciel nie może go zobaczyć ani usunąć. Trzeci projekt może zaakceptować to członkostwo (które nie zostało faktycznie przyznane przez właściciela), a następnie czytać i wykonywać prywatny przepływ pracy właściciela; tylko projekt akceptujący (nie właściciel) może później cofnąć ten dostęp.
Ocena ryzyka
Nieautoryzowany projekt może uzyskać dostęp do prywatnych przepływów pracy innego projektu, co może prowadzić do ujawnienia wrażliwych danych lub wykonania nieautoryzowanych operacji. Narusza to kontrolę dostępu i może mieć poważne konsekwencje dla organizacji.
Rekomendacja
Zaktualizuj OpenStack Mistral do wersji z poprawką, która zapewnia, że członkostwo jest tworzone z project_id właściciela przepływu. Dodatkowo przejrzyj istniejące członkostwa i usuń nieautoryzowane.
Inne podatności w OpenStack Mistral
Zobacz wszystkie- CVE-2026-97147Wysokie
W OpenStack Mistral do wersji 23.0.0, kilka ścieżek zapisu API v2 rozwiązuje docelowy obiekt zapytaniem, które może zwrócić zasób innego projektu, a następnie do niego zapisuje. Uwierzytelniony członek projektu może użyć tego do przepisania i cofnięcia publikacji definicji akcji i środowisk innego projektu.
- CVE-2026-93860Wysokie
W OpenStack Mistral do wersji 23.0.0, kontroler API /v2/maintenance czyści kontekst żądania i wywołuje usługę konserwacji bezpośrednio bez żadnej kontroli polityk. Każdy posiadacz ważnego tokena Mistral, niezależnie od przypisanej roli, może odczytać i zmienić stan konserwacji całego klastra.
- CVE-2026-93858Wysokie
W OpenStack Mistral do wersji 23.0.0 akcja std.ssh_proxied przekazuje wartość proxy_command dostarczoną przez wywołującego bezpośrednio do paramiko.ProxyCommand() przed próbą połączenia SSH. Uwierzytelniony członek projektu może użyć standardowego API do wykonania dowolnego lokalnego polecenia jako proxy_command, które jest uruchamiane jako podproces na hoście wykonawcy. Dotyczy to domyślnej konfiguracji, która zezwala na akcję std.ssh_proxied.
- CVE-2026-41283Krytyczne
OpenStack Mistral do wersji 22.0.0 zawiera podatność na zdalne wykonanie kodu, gdy API jest wystawione. Istnieją endpointy umożliwiające wykonanie kodu, co może prowadzić do wycieku poświadczeń usługi.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Mistral through 23.0.0, the workflow membership API lets a project that has accepted a share of another project's private workflow create a further membership naming a third project. The new membership row is created with its project_id defaulted to the accepting project rather than the original workflow owner, and thus the owner can neither see nor delete it. The third project can accept this membership (that it had not actually been granted by the owner), and then read and execute the owner's private workflow; only the accepting (not the owning) project can later revoke that access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS