Към съдържанието
Търсене

CVE-2026-71193: OpenStack Designate, заобикаляне на вход и права

9.6

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

In OpenStack Designate before 22.0.1, zone creation checks (_is_subzone, _is_superzone, and the duplicate-zone DB constraint) are scoped to the target pool only. An authenticated user can bypass these checks by scheduling a zone to a different pool via the AttributeFilter scheduler, creating an overlapping zone that conflicts with another tenant's zone. This enables cross-tenant DNS hijack (redirecting traffic to attacker-controlled IPs) and DNS denial of service (NODATA responses). Exploitation requires a multi-pool deployment with AttributeFilter enabled in scheduler_filters, which is a non-default but documented and supported configuration for self-service tiering.

Засегнати продукти

  • OpenStack Designate: 1.0.0 преди 20.0.2; 21.0.0 преди 21.0.1; 22.0.0 преди 22.0.1

Вид слабост

История

  • 12 август 2026 Публикувано

Други уязвимости в OpenStack Designate

Първоизточници

CVE-2026-71193: OpenStack Designate, заобикаляне на вход и права | freedomonline.bg