CVE-2026-90460
Açıklama
OpenStack Keystone'un 29.0.3 öncesindeki sürümlerinde bir sorun tespit edilmiştir. Temsilci kimlik doğrulama yöntemleri (EC2 kimlik bilgileri, uygulama kimlik bilgileri, OAuth1 erişim belirteçleri ve güvenler) aracılığıyla elde edilen belirteçlerin, /v3/credentials API üzerinden kimlik bilgilerini oluşturması, değiştirmesi veya silmesi engellenmemektedir. EC2 kaynaklı belirteçler ek olarak kimlik bilgisi bloklarını okuyabilmekte; bu durum TOTP MFA seed değerlerini ve diğer sırları açığa çıkarmaktadır. Ayrıca, PATCH /v3/credentials isteği sonrası talep edilen project_id doğrulanmamakta, bu da herhangi bir temsilci belirtecinin bir kimlik bilgisini yetkisiz bir projeye taşımasına izin vermektedir. Temsilci kimlik doğrulama kullanan tüm Keystone kurulumları etkilenmektedir.
Nasıl düzeltilir
- OpenStack Keystone27.0.3, 28.0.3, 29.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| OpenStack Keystone | 13.0.0 ≤ v < 27.0.3, 28.0.0 ≤ v < 28.0.3, 29.0.0 ≤ v < 29.0.3 | 27.0.3, 28.0.3, 29.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.