CVE-2026-90460 in Keystone
要約
〜によって VulDB • 2026年09月12日
OpenStack Keystone 29.0.3 より前のバージョンで問題が発見されました。委譲された認証方法（EC2資格情報、アプリケーション資格情報、OAuth1アクセストークン、および trusts）を介して取得したトークンは、/v3/credentials API を通じて資格情報の作成、変更、または削除を行うことがブロックされません。EC2由来のトークン additionally は資格情報 blob の読み取りが可能であり、TOTP MFA シードやその他の秘密情報が露出します。また、PATCH /v3/credentials では更新後の project_id が検証されないため、任意の委譲されたトークンは資格情報を認可されていないプロジェクトに移動できます。委譲認証を使用しているすべての Keystone デプロイメントが影響を受けます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.