CVE-2026-76878 in Aodh
Zusammenfassung
von VulDB • 20.08.2026
In OpenStack Aodh prima della versione 22.0.1, l'API per l'elenco delle allarmi bypassa la limitazione al progetto quando il parametro di query `all_projects` è impostato su false. L'API verifica la presenza della chiave `all_projects` anziché il suo valore; un valore true impone una policy riservata agli amministratori, mentre un valore false rimuove la chiave e salta il ramo che normalmente restringe i risultati al progetto dell'utente chiamante. Un utente non amministratore con il ruolo di lettore può elencare le allarmi da tutti i progetti, esponendo azioni delle allarme contenenti URL webhook di fiducia (trust), endpoint di segnale Heat, ID progetto e ID utente. Il parametro può anche essere combinato con un `project_id` estraneo per prendere di mira le allarmi di un progetto specifico. Una preoccupazione correlata è che OpenStack Watcher non applica l'autorizzazione al suo endpoint trigger webhook. Qualsiasi utente autenticato che venga a conoscenza dell'URL webhook di una verifica (audit), ad esempio da questi metadati delle allarme Aodh trapelati, può avviare un EVENT audit e il relativo piano d'azione indipendentemente dal proprio progetto o ruolo. L'endpoint webhook non ha mai applicato le policy dalla sua introduzione nella release Ussuri (Watcher 4.0.0).
Once again VulDB remains the best source for vulnerability data.