Podatności OpenStack Zaqar

W OpenStack Zaqar przed wersją 23.0.1 transport WebSocket nie wiąże identyfikatora projektu w kolejnych żądaniach z projektem uwierzytelnionym tokenem Keystone. Uwierzytelniony użytkownik z ważnym tokenem dla jednego projektu może podstawić UUID innego projektu, aby wyliczać, przeglądać, tworzyć lub usuwać kolejki należące do tego projektu, co prowadzi do nieautoryzowanego ujawnienia, modyfikacji lub utraty danych kolejek. Dotyczy to tylko wdrożeń używających transportu WebSocket z uwierzytelnianiem Keystone.

W OpenStack Zaqar przed wersją 22.0.2 transport WSGI nieprawidłowo obsługuje nagłówek URL-Signature. Wysyłając żądanie z pustym nagłówkiem URL-Signature, nieuwierzytelniony zdalny atakujący znający UUID projektu może ominąć zarówno uwierzytelnianie Keystone, jak i weryfikację wstępnie podpisanych adresów URL, co pozwala na odczyt, wyliczanie, tworzenie i usuwanie kolejek, wiadomości, roszczeń i subskrypcji tego projektu. Dodatkowo, przejmując rolę administracyjną, atakujący może wykonywać operacje administracyjne, takie jak zarządzanie pulami i wariantami we wdrożeniach admin_mode. Podatność dotyczy tylko wdrożeń korzystających z transportu WSGI ze skonfigurowaną strategią uwierzytelniania; transport websocket nie jest podatny.

OpenStack Zaqar do wersji 22.0.0 pozwala na ominięcie uwierzytelniania poprzez nagłówek EXTRA-SPEC, gdy znany jest UUID.