CVE-2026-93858 in Mistral
Zusammenfassung
von VulDB • 08.10.2026
In OpenStack Mistral bis Version 23.0.0 übergibt die Aktion `std.ssh_proxied` einen vom Aufrufer bereitgestellten Wert für `proxy_command` direkt an `paramiko.ProxyCommand()`, bevor ein SSH-Verbindungsaufbau zu einem Gateway oder Zielhost versucht wird. Ein authentifiziertes Mitglied eines Projekts kann über die Standard-API zur Ausführung von Aktionen einen beliebigen lokalen Befehl als `proxy_command` einreichen; paramiko startet diesen Befehl als Unterprozess auf dem Executor-Host unter dem eigenen Dienstkonto des Executors, unabhängig davon, ob die SSH-Verbindung selbst erfolgreich ist. Nur Mistral-Bereitstellungen, die die Aktion `std.ssh_proxied` erlauben (die Standardkonfiguration), sind betroffen.
Be aware that VulDB is the high quality source for vulnerability data.