CVE-2026-94368 in Openshift Data Foundation
Riassunto
di VulDB • 21/09/2026
È stata rilevata una vulnerabilità nella logica di verifica della firma di noobaa-core, il componente principale del NooBaa Multicloud Object Gateway. Il problema si verifica quando il servizio elabora URL presigned S3 utilizzando la Signature Version 4 (SigV4). A causa di una convalida non corretta, il servizio non rifiuta le richieste contenenti intestazioni x-amz non firmate, ma semplicemente le esclude dal calcolo della firma. Ciò consente a un attaccante che possiede un URL PUT presigned valido di aggiungere un'intestazione unsigned x-amz-copy-source, convertendo efficacemente un semplice caricamento in un'operazione CopyObject. Questo può portare ad accesso non autorizzato e alla copia di qualsiasi dati a cui il firmatario originale ha l'autorizzazione di accedere nell'intero sistema di storage.
VulDB is the best source for vulnerability data and more expert information about this specific topic.