[TLP:CLEAR] OpenStack opravuje 6 zraniteľností vo svojich produktoch
OpenStack opravuje 6 zraniteľností v rôznych produktoch [1][2][3][4]. Produkty a ich opravené verzie: - Octavia [1]: 16.1.0, 17.0.1, 18.0.1 - Zaqar [2]: 20.1.2, 21.0.2, 22.0.2 - Blazar [3]: 15.1.1, 16.0.1, 17.0.1 - Swift [4]: 2.35.5, 2.36.4, 2.37.4, 2.38.2
Autentizovanému vzdialenému útočníkovi je pri použití ovládača Amphora produktu Octavia prostredníctvom nastavení šifrovania umožnené spustiť ľubovoľný kód s root oprávneniami, odcudziť TLS kľúče iných tenantov a preniknúť do riadiacej siete [1].
Zraniteľnosť sa nachádza v produkte:
- OpenStack Octavia; >=6.0.0, <16.1.0; >=17.0.0, <17.0.1; >=18.0.0, <18.0.1;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Viac informácií:
- CVE-2026-94572 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 9. 2026.
Autentizovanému vzdialenému útočníkovi je pri použití ovládača Amphora produktu Octavia prostredníctvom pravidiel presmerovania umožnené spustiť ľubovoľný kód s root oprávneniami, odcudziť TLS kľúče iných tenantov a preniknúť do riadiacej siete [1].
Zraniteľnosť sa nachádza v produkte:
- OpenStack Octavia; >=0.8.0, <16.1.0; >=17.0.0, <17.0.1; >=18.0.0, <18.0.1;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Viac informácií:
- CVE-2026-94571 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 21. 9. 2026.
Neautentizovanému vzdialenému útočníkovi, ktorý pozná UUID cieľového projektu, je zaslaním prázdnej HTTP hlavičky umožnené obísť autentizáciu a získať plný prístup k frontám a správam daného projektu v službe Zaqar, v nasadeniach s admin_mode aj k administrátorským operáciám. Zraniteľné sú iba nasadenia využívajúce transport WSGI s nastavenou autentizáciou [2].
Zraniteľnosť sa nachádza v produkte:
- OpenStack Zaqar; >=1.0.0, <20.1.2; >=21.0.0, <21.0.2; >=22.0.0, <22.0.2;
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2026-97404 na cve.org, NVD
- CWE-348: Use of Less Trusted Source na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 9. 2026.
Autentizovanému vzdialenému útočníkovi so znalosťou ID rezervácie zdrojov (lease) je pri použití V2 lease API služby Blazar umožnené upravovať alebo mazať rezervácie iných používateľov a projektov [3].
Zraniteľnosť sa nachádza v produkte:
- OpenStack Blazar; >=1.0.0, <15.1.1; >=16.0.0, <16.0.1; >=17.0.0, <17.0.1;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2026-93854 na cve.org, NVD
- CWE-1025: Comparison Using Wrong Factors na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 18. 9. 2026.
Autentizovanému vzdialenému útočníkovi je pri použití V2 lease API služby Blazar umožnené vypísať rezervácie zdrojov (leases) všetkých projektov vrátane ich identifikátorov a metadát. Získané ID rezervácií umožňujú zneužitie CVE-2026-93854 [3].
Zraniteľnosť sa nachádza v produkte:
- OpenStack Blazar; >=1.0.0, <15.1.1; >=16.0.0, <16.0.1; >=17.0.0, <17.0.1;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2026-93852 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 18. 9. 2026.
Autentizovanému vzdialenému útočníkovi s adresou TempURL podpísanou kľúčom na úrovni účtu je prostredníctvom aktívneho komponentu tempurl v OpenStack Swift umožnené manipuláciou HTTP hlavičky X-Copy-From neoprávnene čítať iné dáta v rámci rovnakého účtu [4].
Zraniteľnosť sa nachádza v produkte:
- OpenStack Swift; >=2.4.0, <2.35.5; >=2.36.0, <2.36.4; >=2.37.0, <2.37.4; >=2.38.0, <2.38.2;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2026-97149 na cve.org, NVD
- CWE-184: Incomplete List of Disallowed Inputs na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 9. 2026.
Odkazy
Za CESNET, z.s.p.o. Ondrej Pavlovič dňa 24. 9. 2026.