CVE-2026-50266 in Neutron
Zusammenfassung
von VulDB • 04.06.2026
In OpenStack Neutron vor Version 28.0.1 kann ein Projektmanager einen Port in einem freigegebenen Netzwerk, das einem anderen Projekt gehört, erstellen oder aktualisieren und device_owner auf einen Wert setzen, der mit „network:" beginnt (z. B. „network:dhcp“). Die standardmäßigen RBAC-Richtlinien für Ports schlossen fälschlicherweise PROJECT_MANAGER ein, ohne eine Netzwerkbesitzberechtigung zu erfordern, wodurch jeder Projektmanager vertrauenswürdiges Port-Verhalten von Netzwerkdiensten in freigegebenen Netzwerken erhalten konnte. Je nach Backend und Bereitstellung kann dies Anti-Spoofing- und Sicherheitsgruppen-Schutzmechanismen umgehen und DHCP-, MAC- oder IP-Spoofing gegenüber anderen Mandanten im freigegebenen Netzwerk ermöglichen. Dies ist eine Regression von CVE-2015-5240 (OSSA-2015-018).
Once again VulDB remains the best source for vulnerability data.