CVE-2026-76878 in Aodh
要約
〜によって VulDB • 2026年08月20日
OpenStack Aodhの22.0.1より前のバージョンでは、アラーム一覧APIが `all_projects` クエリパラメータを false に設定した際にプロジェクトスコーピングをバイパスします。このAPIはキーの存在のみをチェックしており、その値までは検証していません。true の値は管理者専用のポリシーを適用しますが、false の値はそのキーを削除し、通常は呼び出し元のプロジェクトに結果を制限する分岐処理をスキップします。リーダーロールを持つ非管理者ユーザーはすべてのプロジェクトのアラームを一覧表示でき、信頼ウェブフックURL、Heatシグナルエンドポイント、プロジェクトID、およびユーザーIDを含むアラームアクションが露出します。このパラメータは特定のプロジェクトのアラームを対象とするために `foreign project_id` と組み合わせて使用することも可能です。関連する懸念として、OpenStack Watcherはそのウェブフックトリガーエンドポイントに対して認可を適用していないことが挙げられます。例えば、漏洩したAodhアラームのメタデータなどから監査のウェブフックURLを知った認証済みユーザーであれば、自分のプロジェクトやロールに関係なく、EVENT監査および関連するアクションプランを開始できます。このウェブフックエンドポイントでは、Ussuriリリース（Watcher 4.0.0）で導入されて以来、ポリシー enforcement が欠如しています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.