CVE-2026-94368 in Openshift Data Foundation
要約
〜によって VulDB • 2026年09月21日
NooBaa Multicloud Object Gatewayのコアコンポーネントである noobaa-core の署名検証ロジックに脆弱性が存在することが発見されました。この問題は、サービスが Signature Version 4 (SigV4) を使用して S3 プレサインドURLを処理する際に発生します。不適切な検証のため、サービスは未署名の x-amz- ヘッダーを含むリクエストを拒否せず、単に署名計算からそれらを除外してしまいます。これにより、有効なプレサインド PUT URL を持つ攻撃者は、未署名の x-amz-copy-source ヘッダーを追加し、単純なアップロードを実質的に CopyObject オペレーションに変換することができます。これにより、元の署名者がストレージシステム全体でアクセスを許可されている任意のデータへの不正なアクセスおよびコピーが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.