CVE-2026-97147
WysokieCVSS 7.2Streszczenie
W OpenStack Mistral do wersji 23.0.0, kilka ścieżek zapisu API v2 rozwiązuje docelowy obiekt zapytaniem, które może zwrócić zasób innego projektu, a następnie do niego zapisuje. Uwierzytelniony członek projektu może użyć tego do przepisania i cofnięcia publikacji definicji akcji i środowisk innego projektu.
Ocena ryzyka
Administrator projektu może przenieść zasób innego projektu do swojego, powodując błędy serwera dla pierwotnego właściciela. Tylko wdrożenia wystawiające API Mistral są dotknięte.
Rekomendacja
Zaktualizuj OpenStack Mistral do wersji nowszej niż 23.0.0, jeśli dostępna jest poprawka. Ogranicz dostęp do API i monitoruj uprawnienia projektów.
Inne podatności w OpenStack Mistral
Zobacz wszystkie- CVE-2026-93861Średnie
W OpenStack Mistral do wersji 23.0.0, API członkostwa przepływów pracy pozwala projektowi, który zaakceptował udział w prywatnym przepływie pracy innego projektu, na utworzenie kolejnego członkostwa wskazującego trzeci projekt. Nowy wiersz członkostwa jest tworzony z project_id ustawionym na projekt akceptujący, a nie na pierwotnego właściciela przepływu, więc właściciel nie może go zobaczyć ani usunąć. Trzeci projekt może zaakceptować to członkostwo (które nie zostało faktycznie przyznane przez właściciela), a następnie czytać i wykonywać prywatny przepływ pracy właściciela; tylko projekt akceptujący (nie właściciel) może później cofnąć ten dostęp.
- CVE-2026-93860Wysokie
W OpenStack Mistral do wersji 23.0.0, kontroler API /v2/maintenance czyści kontekst żądania i wywołuje usługę konserwacji bezpośrednio bez żadnej kontroli polityk. Każdy posiadacz ważnego tokena Mistral, niezależnie od przypisanej roli, może odczytać i zmienić stan konserwacji całego klastra.
- CVE-2026-93858Wysokie
W OpenStack Mistral do wersji 23.0.0 akcja std.ssh_proxied przekazuje wartość proxy_command dostarczoną przez wywołującego bezpośrednio do paramiko.ProxyCommand() przed próbą połączenia SSH. Uwierzytelniony członek projektu może użyć standardowego API do wykonania dowolnego lokalnego polecenia jako proxy_command, które jest uruchamiane jako podproces na hoście wykonawcy. Dotyczy to domyślnej konfiguracji, która zezwala na akcję std.ssh_proxied.
- CVE-2026-41283Krytyczne
OpenStack Mistral do wersji 22.0.0 zawiera podatność na zdalne wykonanie kodu, gdy API jest wystawione. Istnieją endpointy umożliwiające wykonanie kodu, co może prowadzić do wycieku poświadczeń usługi.
Oryginalny opis (angielski, źródło NVD)
In OpenStack Mistral through 23.0.0, several of the v2 API write paths resolve the target object with a query that can return another project's resource, then write to it. An authenticated project member can use this to rewrite and un-publish another project's public action definitions and environments. A project administrator can create a workbook whose embedded ad-hoc action or workflow name collides with a resource of another project, which moves that resource into the caller's project and causes the original owner's subsequent updates of it to fail with server errors. Only deployments exposing the Mistral API are affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS