CVE-2026-97404
KrytyczneCVSS 9.2Streszczenie
W OpenStack Zaqar przed wersją 22.0.2 transport WSGI nieprawidłowo obsługuje nagłówek URL-Signature. Wysyłając żądanie z pustym nagłówkiem URL-Signature, nieuwierzytelniony zdalny atakujący znający UUID projektu może ominąć zarówno uwierzytelnianie Keystone, jak i weryfikację wstępnie podpisanych adresów URL, co pozwala na odczyt, wyliczanie, tworzenie i usuwanie kolejek, wiadomości, roszczeń i subskrypcji tego projektu. Dodatkowo, przejmując rolę administracyjną, atakujący może wykonywać operacje administracyjne, takie jak zarządzanie pulami i wariantami we wdrożeniach admin_mode. Podatność dotyczy tylko wdrożeń korzystających z transportu WSGI ze skonfigurowaną strategią uwierzytelniania; transport websocket nie jest podatny.
Ocena ryzyka
Nieuwierzytelniony atakujący znający UUID projektu może uzyskać pełny dostęp do kolejek i wiadomości tego projektu, a w niektórych przypadkach wykonywać operacje administracyjne. Może to prowadzić do wycieku danych, ich modyfikacji lub utraty dostępności usługi.
Rekomendacja
Zaktualizuj OpenStack Zaqar do wersji 22.0.2 lub nowszej. Jeśli to możliwe, rozważ przejście na transport websocket lub ograniczenie dostępu sieciowego do interfejsu WSGI.
Inne podatności w OpenStack Zaqar
Oryginalny opis (angielski, źródło NVD)
In OpenStack Zaqar before 22.0.2, WSGI transport mishandles the URL-Signature header. By sending a request with an empty URL-Signature header, an unauthenticated remote attacker who knows a target project's UUID may bypass both Keystone authentication and pre-signed URL verification, resulting in the ability to read, enumerate, create, and delete that project's queues, messages, claims, and subscriptions. By additionally claiming an administrative role, the attacker may also perform administrative operations, such as managing pools and flavors in admin_mode deployments. Only deployments using the WSGI transport with an authentication strategy configured are affected; the websocket transport is not affected.