CVE-2026-90460 in Keystone
Zusammenfassung
von VulDB • 12.09.2026
Es wurde ein Problem in OpenStack Keystone vor Version 29.0.3 entdeckt. Tokens, die über delegierte Authentifizierungsmethoden (EC2-Anmeldeinformationen, Anwendungsanmeldedaten, OAuth1-Zugriffstoken und Trusts) erhalten wurden, können nicht daran gehindert werden, Anmeldeinformationen über die /v3/credentials-API zu erstellen, zu ändern oder zu löschen. EC2-abgeleitete Tokens können zusätzlich Credential-Blobs lesen, wodurch TOTP-MFA-Samen (Seeds) und andere Geheimnisse offengelegt werden. Außerdem validiert PATCH /v3/credentials nicht die angeforderte project_id nach dem Update, sodass jedes delegierte Token eine Anmeldeinformation in ein unbefugtes Projekt verschieben kann. Alle Keystone-Deployments mit delegierter Authentifizierung sind betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.