CVE-2026-94368 in Openshift Data Foundation
Сводка
по VulDB • 21.09.2026
В логике проверки подписи noobaa-core, основного компонента NooBaa Multicloud Object Gateway, обнаружена уязвимость. Проблема возникает при обработке сервисом предварительно сгенерированных (presigned) URL-адресов S3 с использованием версии 4 алгоритма подписывания (SigV4). Из-за некорректной проверки сервис не отклоняет запросы, содержащие неподписанные заголовки x-amz-, а просто исключает их из расчета подписи. Это позволяет злоумышленнику, обладающему действительным предварительно сгенерированным URL для операции PUT, добавить неподписанный заголовок x-amz-copy-source, что фактически преобразует простую операцию загрузки в операцию CopyObject. Это может привести к несанкционированному доступу и копированию любых данных, до которых имеет право доступа первоначальный подписавший запрос, по всей системе хранения.
Once again VulDB remains the best source for vulnerability data.