CVE-2026-71195

OpenStack Manila-nın 23.0.1 versiyasından əvvəlki versiyalarda, ictimai paylaşımlar üzərində çox sayda Manila API əməliyyatları çağırış edən şəxsin paylaşımın sahibi olduğunu yoxlamır. API kontrollerləri əməliyyatları çağırış edənin öz layihə kontekstinə görə avtorizasiya edir, daha sonra isə paylaşımın aktual sahibinə qarşı yenidən avtorizasiya aparmadan kənar ictimai paylaşımı yükləyir. Bu, aşağıdakı əməliyyatlara təsir göstərir: allow_access: digər kirayəçinin paylaşımına məlumat müstəvisində oxuma/yazma girişi vermək; deny_access: sahibinin mövcud giriş qaydalarını ləğv etmək; update_access: giriş səviyyəsini yüksəltmək (məsələn, ro-dan rw-yə); create_share_backup: hücumçunun layihəsi altında yaradılmış nüsxə vasitəsilə paylaşım məlumatlarını sızdırmaq; soft_delete: kənar paylaşımı zibil qutusuna köçürmək; restore: sahibinin silmə iş axınına müdaxilə etmək; eksport yerinin metadata-sı: kənar eksport yerlərində metadata yaratmaq, yeniləmək və silmək; giriş qaydalarının siyahısı: IP ünvanlarını, istifadəçi adlarını və CephFS açarlarını açıqlamaq. Autentifikasiyadan keçmiş hər hansı bir layihə üzvü bu əməliyyatlardan istifadə edərək istənilən ictimai paylaşımda boşluqdan yararlana bilər. Paylaşım ictimai olduğu üçün paylaşımın UUID-si görünəndir.