CVE-2026-97404
Təsvir
OpenStack Zaqar-ın 22.0.2 versiyasından əvvəlki versiyalarında WSGI transportu URL-Signature başlığını yanlış emal edir. Boş URL-Signature başlığı ilə sorğu göndərərək, hədəf layihənin UUID-sini bilən autentifikasiya olunmamış uzaq hücumçu həm Keystone autentifikasiyasından, həm də öncədən imzalanmış URL yoxlamasından yan keçə bilər ki, bu da həmin layihənin növbələrini, mesajlarını, tələblərini və abunəliklərini oxumaq, siyahılamaq, yaratmaq və silmək imkanı verir. Əlavə olaraq inzibati rol təyin etməklə, hücumçu admin_mode tətbiqlərində pool-ları və flavor-ları idarə etmək kimi inzibati əməliyyatları da yerinə yetirə bilər. Yalnız autentifikasiya strategiyası konfiqurasiya edilmiş WSGI transportundan istifadə edən tətbiqlər təsirlənir; websocket transportu təsirlənmir.
Necə düzəltmək olar
- OpenStack Zaqar20.1.2, 21.0.2, 22.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OpenStack Zaqar | 1.0.0 ≤ v < 20.1.2, 21.0.0 ≤ v < 21.0.2, 22.0.0 ≤ v < 22.0.2 | 20.1.2, 21.0.2, 22.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.