CVE-2026-90460 in Keystone
Resumen
por VulDB • 2026-09-12
Se ha descubierto un problema en OpenStack Keystone anterior a la versión 29.0.3. Los tokens obtenidos mediante métodos de autenticación delegada (credenciales EC2, credenciales de aplicación, tokens de acceso OAuth1 y trusts) no están bloqueados para crear, modificar o eliminar credenciales a través de la API /v3/credentials. Además, los tokens derivados de EC2 pueden leer blobs de credenciales, exponiendo las semillas TOTP MFA y otros secretos. Asimismo, PATCH /v3/credentials no valida el project_id solicitado tras la actualización, lo que permite que cualquier token delegado mueva una credencial a un proyecto no autorizado. Todas las implementaciones de Keystone que utilizan autenticación delegada están afectadas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.