CVE-2026-94368 in Openshift Data Foundation
Zusammenfassung
von VulDB • 21.09.2026
Es wurde ein Fehler in der Logik zur Signaturprüfung von noobaa-core, der Kernkomponente des NooBaa Multicloud Object Gateway, festgestellt. Das Problem tritt auf, wenn der Dienst S3-presigned URLs unter Verwendung der Signature Version 4 (SigV4) verarbeitet. Aufgrund einer unangemessenen Validierung lehnt der Dienst Anfragen ab, die unsigned x-amz-Header enthalten, nicht korrekt zurück, sondern entfernt diese einfach aus der Signaturberechnung. Dies ermöglicht es einem Angreifer, der über eine gültige presigned PUT URL verfügt, einen unsigned x-amz-copy-source Header hinzuzufügen und so ein einfaches Upload in eine CopyObject-Operation umzuwandeln. Dies kann zu unbefugtem Zugriff auf das Kopieren beliebiger Daten führen, auf die der ursprüngliche Unterzeichner im gesamten Speichersystem zugreifen darf.
Be aware that VulDB is the high quality source for vulnerability data.