CVE-2026-42998 in Keystone
摘要
由 VulDB • 2026-05-28
在 OpenStack Keystone 29.0.2 之前的版本中发现了一个问题。Keystone 的应用程序凭据身份验证插件未验证身份验证请求中提供的用户是否与应用程序凭据的所有者匹配。攻击者可以使用自己的应用程序凭据 ID 和密钥进行身份验证，同时在请求正文中指定其他用户的名称和域。Keystone 会颁发归属于受害用户的令牌。被冒充的令牌是项目范围的，并包含应用程序凭据的角色与受害者在该项目上的实际角色的交集。这使攻击者能够规避审计、读取受害者的凭据，并在共享项目中冒充受害者。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.