CVE-2026-107203 Autorización incorrecta en la API de interfaces de dominio y subred de Foreman

Qué es CVE-2026-107203

Una falla de autorización incorrecta en el manejo de interfaces de red de Foreman: la API de interfaces de dominio y subred solo verifica que el solicitante tenga permiso sobre un host y no aplica el límite de búsqueda, por lo que responde con interfaces de todos los hosts del dominio o subred. Un atacante o usuario con pocos privilegios puede ver registros de interfaces de hosts que no tiene permitido ver y, si además puede editar algunos hosts, guardar cambios en esas interfaces.

Productos y versiones afectadas

• Red Hat Red Hat Satellite 6

  Versiones no especificadas.

Qué hacer

1. Verificá si usás Red Hat Satellite 6.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

An **incorrect authorization** flaw has been found in **network interface handling** in the **Foreman** package. The domain and subnet interface API checks only that the caller holds a host permission. It does not apply the search limit on that permission, so the request is answered from every interface on the domain or subnet. A low-privileged network attacker or user must already be allowed to view some hosts and to view a domain or subnet shared with other hosts. They can request that domain or subnet's interfaces. The response includes interface records of hosts they are not allowed to view. If the attacker or user is also allowed to edit some hosts, they can submit a change to one of those interfaces. The interface is then saved with that change.

Referencias

• access.redhat.com/security/cve/CVE-2026-107203VDB-ENTRY · X_REFSOURCE_REDHAT
• bugzilla.redhat.com/show_bug.cgi?id=2547470ISSUE-TRACKING · X_REFSOURCE_REDHAT

Historial de la alerta

1. 12 OCT · 04:56VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.