CVE-2026-76878 in Aodh
요약
\~에 의해 VulDB • 2026. 08. 20.
OpenStack의 22.0.1 이전 버전에서 Aodh는 all_projects 쿼리 매개변수가 false로 설정될 때 프로젝트 스코핑을 우회합니다. API는 값이 아닌 all_projects 키의 존재 여부를 확인하며, true 값은 관리자 전용 정책을 강제하지만, false 값은 키를 제거하여 일반적으로 호출자의 프로젝트로 결과를 제한하는 분기를 건너뜁니다. reader 역할을 가진 비관리자 사용자는 모든 프로젝트에서 알림을 나열할 수 있으며, 여기에는 신뢰 웹훅 URL, Heat 신호 엔드포인트, 프로젝트 ID 및 사용자 ID가 포함된 알림 작업이 노출됩니다. 이 매개변수는 특정 프로젝트의 알림을 대상으로 하기 위해 외부 project_id와 함께 결합될 수도 있습니다. 관련 우려 사항으로 OpenStack Watcher는 자체 웹훅 트리거 엔드포인트에 대한 권한 부여를 적용하지 않습니다. 예를 들어, 누출된 Aodh 알림 메타데이터에서 감사(webhook) URL을 알아낸 인증된 사용자는 자신의 프로젝트나 역할과 무관하게 EVENT 감사와 해당 작업 계획을 시작할 수 있습니다. 이 웹훅 엔드포인트는 Ussuri 릴리스(Watcher 4.0.0) 도입 이후 정책 강제 기능이 누락되어 왔습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.