CVE-2026-71198
Açıklama
OpenStack Glance 32.0.1 öncesi sürümlerde, konum API'si bir imaja HTTP konumu eklerken hedef ana bilgisayarları doğrulamamaktadır. Web üzerinden indirme içe aktarma yolunun aksine, konum API'si yalnızca URL şemasını kontrol eder ve import_filtering_opts ana bilgisayar kısıtlamalarını uygulamaz. Kimliği doğrulanmış bir kullanıcı, bulut meta veri hizmeti (169.254.169.254) gibi dahili uç noktalara işaret eden bir konum ekleyebilir ve imaj verilerini indirerek yanıtı geri alabilir. Bu durum, hem yeni POST /v2/images/{id}/locations API'sini hem de show_multiple_locations etkinleştirildiğinde eski PATCH API'sini etkilemektedir. HTTP store arka ucu etkin olan dağıtımlar etkilenmektedir.
Nasıl düzeltilir
- OpenStack Glance30.2.1, 31.1.1, 32.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| OpenStack Glance | 16.0.0 ≤ v < 30.2.1, 31.0.0 ≤ v < 31.1.1, 32.0.0 ≤ v < 32.0.1 | 30.2.1, 31.1.1, 32.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.