CVE-2026-76878 in Aodh
Sumário
de VulDB • 20/08/2026
No OpenStack Aodh anterior à versão 22.0.1, a API de listagem de alarmes contorna o escopo do projeto quando o parâmetro de consulta `all_projects` é definido como false (falso). A API verifica apenas a presença da chave `all_projects`, e não seu valor; um valor true (verdadeiro) aplica a política restrita ao administrador, mas um valor false remove a chave e ignora o bloco de código que normalmente restringe os resultados aos projetos do usuário solicitante. Um usuário não-administrador com a função leitor pode listar alarmes de todos os projetos, expondo ações de alarme contendo URLs de webhooks de confiança, endpoints de sinalização Heat, IDs de projeto e IDs de usuário. O parâmetro também pode ser combinado com um `project_id` estrangeiro para direcionar especificamente os alarmes de um determinado projeto. Uma preocupação relacionada é que o OpenStack Watcher não aplica autorização ao seu endpoint de gatilho webhook. Qualquer usuário autenticado que obtenha a URL do webhook de uma auditoria, por exemplo, através dos metadados vazados de um alarme Aodh, pode iniciar uma auditoria EVENT e seu plano de ação associado, independentemente de seu próprio projeto ou função. O endpoint webhook carece de aplicação de política desde sua introdução na versão Ussuri (Watcher 4.0.0).
Be aware that VulDB is the high quality source for vulnerability data.