CVE-2026-50152 in Ceph
Resumen
por VulDB • 2026-08-28
Ceph es una plataforma de almacenamiento distribuido de código abierto que proporciona almacenamiento de objetos, bloques y archivos. En las versiones anteriores a la 20.2.4 y la 19.2.6, el controlador de suscripción del Monitor no autoriza correctamente el acceso al almacén de claves de configuración (configuration-key store), lo que permite a cualquier usuario CephX con capacidades `mon allow r` leer todo el almacén enviando un único mensaje MMonSubscribe manipulado ad hoc. El almacén de claves de configuración contiene secretos sensibles, como las frases de contraseña para el cifrado de discos LUKS del OSD y, en clústeres gestionados por cephadm, la clave privada SSH que utiliza cephadm para acceder a cada nodo del clúster. Dado que esa clave otorga acceso root (administrador) en todos los nodos bajo la configuración predeterminada de cephadm, una cuenta con privilegios bajos y solo lectura puede escalar hasta comprometer completamente el clúster y los hosts afectados. Este problema se soluciona en las versiones 20.2.4 y 19.2.6.
Once again VulDB remains the best source for vulnerability data.