CVE-2026-33551
Açıklama
OpenStack Keystone 14 ile 26 arasındaki sürümlerde (26.1.1 öncesi), 27.0.0, 28.0.0 ve 29.0.0 sürümlerinde bir sorun tespit edilmiştir. Kısıtlanmış uygulama kimlik bilgileri, EC2 kimlik bilgileri oluşturabilmektedir. Kimliği doğrulanmış ve yalnızca okuyucu rolüne sahip bir kullanıcı, EC2 kimlik bilgisi oluşturma API'sini çağırmak için kısıtlanmış bir uygulama kimlik bilgisi kullanarak, üst kullanıcının tüm S3 izinlerini taşıyan bir EC2/S3 kimlik bilgisi elde edebilir; bu durum, uygulama kimlik bilgisine uygulanan rol kısıtlamalarının etkili bir şekilde atlatılmasına neden olur. Yalnızca kısıtlanmış uygulama kimlik bilgilerini EC2/S3 uyumluluk API'si (swift3 / s3api) ile birlikte kullanan dağıtımlar etkilenmektedir.
Nasıl düzeltilir
- openstack keystone26.1.1 ya da sonraki bir sürüm
- keystone26.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openstack keystone | 14.0.0 ≤ v < 26.1.1, 27.0.0, 28.0.0, 29.0.0 | 26.1.1 |
| keystonePyPI | 14.0.0 ≤ v < 26.1.1 | 26.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.