Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-863

CVE-2026-71195

OpenStack Manila: Paylaşımlı paylara yetkisiz erişim (yetki denetimi eksikliği)

OpenStack Manila

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
7 gün
Kaydı açan
mitre

Yönetici özeti

Bu açık, bir hizmet sağlayıcının ortak depolama alanlarındaki verilerin başka müşteriler tarafından okunmasına, değiştirilmesine veya silinmesine yol açabilir. Etki kritik düzeydedir ve veri gizliliği, müşteri güveni ve yasal yükümlülükler açısından ciddi risk oluşturur. Sistemlerin hemen güncellenmesi önerilir.

ÖzetTürkçe

OpenStack Manila'nın 23.0.1 öncesi sürümlerinde, genel (public) paylar üzerinde çalışan birden fazla API işlemi, çağıran kullanıcının paylaşımın sahibi olup olmadığını doğrulamıyor. Denetimler çağıranın kendi proje bağlamına göre yapılıyor ve başka bir projeye ait paylaşım yeniden yetkilendirilmeden yükleniyor. Kimliği doğrulanmış herhangi bir proje üyesi bu açığı kullanabilir; paylaşımın UUID değeri genel olduğu için görünür durumdadır.

Saldırgan ne yapabilir?

Saldırgan, başka bir kiracının paylaşımına okuma/yazma erişimi verebilir, mevcut erişim kurallarını kaldırabilir, erişim seviyesini yükseltebilir ve paylaşım verilerini yedek üzerinden dışarı çıkarabilir. Erişim kuralı listelemesi ile IP adresleri, kullanıcı adları ve CephFS anahtarları da ifşa olabilir.

Kaynaktaki açıklama (İngilizce)

In OpenStack Manila before 23.0.1, multiple Manila API operations on public shares do not verify that the caller owns the share. The API controllers authorize operations against the caller's own project context, then load a foreign public share without re-authorizing against the share's actual owner. This affects the following operations: allow_access: grant data-plane read/write access to another tenant's share; deny_access: revoke the owner's existing access rules; update_access: escalate access level (e.g., ro to rw); create_share_backup: exfiltrate share data via a backup created under the attacker's project; soft_delete: move a foreign share to the recycle bin; restore: interfere with the owner's deletion workflow; export location metadata: create, update, and delete metadata on foreign export locations; access rule listing: disclose IPs, usernames, and CephFS keys. Any authenticated project member can exploit these operations on any public share. The share UUID is visible since the share is public.

Ne yapmalı?

  1. OpenStack Manila'yı düzeltilmiş sürümlere yükseltin: 20.0.3, 21.0.3, 22.0.2 veya 23.0.1 (ilgili dal için en az bu sürüm). Üretici
  2. Güncelleme sonrasında servisleri yeniden başlatın ve sürümün doğru yüklendiğini doğrulayın. Genel öneri
  3. Güncelleme öncesinde genel (public) olarak işaretlenmiş paylaşımları gözden geçirin ve gereksiz olanların genel erişimini kaldırmayı değerlendirin. Genel öneri

Ek önlemler

  • Paylaşım erişim kuralları, yedekleme ve meta veri değişikliklerini içeren API çağrılarının kayıtlarını izleyin ve sahibi olmayan projelerden gelen işlemleri inceleyin. Genel öneri
  • Ortak depolama alanlarında hassas verileri ve CephFS gibi kimlik bilgilerini paylaşım erişim kurallarında saklamaktan kaçının. Genel öneri
  • Genel paylaşım oluşturma yetkisini yalnızca gerçekten gerekli projelerle sınırlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
OpenStack Manila ≥ 1.0.0, < 20.0.3 20.0.3
≥ 21.0.0, < 21.0.3 21.0.3
≥ 22.0.0, < 22.0.2 22.0.2
≥ 23.0.0, < 23.0.1 23.0.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.