OpenStack Ironic (idrac) – Weiterleitung eines Keystone-Token an entfernten Endpunkt beim Import

Beschreibung

In OpenStack Ironic (idrac) vor Version 35.0.1 kann ein Benutzer beim Import über sogenannte Molds veranlassen, dass eine Autorisierung an einen entfernten Endpunkt gesendet wird. Die weitergeleitete Anmeldeinformation ist ein zeitlich begrenztes Keystone-Token, das Zugriff auf alle OpenStack-Dienste gewährt, für die Ironic berechtigt ist, oder es handelt sich um die für die Molds-Speicherung konfigurierten Basis-Anmeldedaten. Behoben wurde dies in den Versionen 26.1.6, 29.0.5, 32.0.1 und 35.0.1. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in OpenStack

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Oracle Java SE / JRockit – nicht spezifizierte Sicherheitslücke KEV CVE-2016-3427
• ImageMagick Arbitrary File Deletion Vulnerability KEV CVE-2016-3715
• ImageMagick Server-Side Request Forgery (SSRF) KEV CVE-2016-3718
• CVE-2015-7547 – Synology DSM-Sicherheitslücke CVE-2015-7547