p PatchFirst

CVE-2026-22797

CVE-2026-22797

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

An issue was discovered in OpenStack keystonemiddleware 10.5 through 10.7 before 10.7.2, 10.8 and 10.9 before 10.9.1, and 10.10 through 10.12 before 10.12.1. The external_oauth2_token middleware fails to sanitize incoming authentication headers before processing OAuth 2.0 tokens. By sending forged identity headers such as X-Is-Admin-Project, X-Roles, or X-User-Id, an authenticated attacker may escalate privileges or impersonate other users. All deployments using the external_oauth2_token middleware are affected.

CVSS 9.9 · Критический · EPSS 0,7% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • keystonemiddleware

    Версии
    • ≥ 10.5.0, < 10.7.2: Затронуто (semver)
    • ≥ 10.8.0, < 10.9.1: Затронуто (semver)
    • ≥ 10.10.0, < 10.12.1: Затронуто (semver)

    Обновитесь до 10.12.1; Обновитесь до 10.7.2; Обновитесь до 10.9.1

  • python-keystonemiddleware Debian:13

    Версии
    • 10.9.0-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 10.9.0-2+deb13u1

    Обновитесь до 10.9.0-2+deb13u1

  • python-keystonemiddleware Debian:14

    Версии
    • 10.12.0-1
    • 10.12.0-2
    • 10.9.0-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 10.12.0-3

    Обновитесь до 10.12.0-3

  • python-keystonemiddleware Ubuntu:24.04:LTS

    Версии
    • 10.4.1-0ubuntu1
    • 10.5.0-0ubuntu1
    • 10.5.0-0ubuntu2
    • 10.6.0-0ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 10.6.0-0ubuntu1.1

    Обновитесь до 10.6.0-0ubuntu1.1

  • python-keystonemiddleware Ubuntu:25.10

    Версии
    • 10.9.0-0ubuntu1
    • 10.11.0-0ubuntu1
    • 10.12.0-0ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 10.12.0-0ubuntu1.1

    Обновитесь до 10.12.0-0ubuntu1.1

Первоисточники

Проверьте свой сервер →