CVE-2026-71195 Autorización incorrecta en OpenStack Manila sobre shares públicos

Qué es CVE-2026-71195

En OpenStack Manila antes de 23.0.1, varias operaciones de la API sobre shares públicos no verifican que quien llama sea dueño del share, ya que autorizan contra el proyecto del llamante y luego cargan un share público ajeno sin reautorizar contra su dueño real. Afecta allow_access, deny_access, update_access, create_share_backup, soft_delete, restore, metadatos de ubicaciones de exportación y listado de reglas de acceso, permitiendo acceso, revocación, escalada, exfiltración o divulgación de datos de otro tenant.

Productos y versiones afectadas

• OpenStack Manila

  • desde 1.0.0 hasta antes de 20.0.3
  • desde 21.0.0 hasta antes de 21.0.3
  • desde 22.0.0 hasta antes de 22.0.2
  • desde 23.0.0 hasta antes de 23.0.1

Qué hacer

1. Verificá si usás Manila y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.9 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

In OpenStack Manila before 23.0.1, multiple Manila API operations on public shares do not verify that the caller owns the share. The API controllers authorize operations against the caller's own project context, then load a foreign public share without re-authorizing against the share's actual owner. This affects the following operations: allow_access: grant data-plane read/write access to another tenant's share; deny_access: revoke the owner's existing access rules; update_access: escalate access level (e.g., ro to rw); create_share_backup: exfiltrate share data via a backup created under the attacker's project; soft_delete: move a foreign share to the recycle bin; restore: interfere with the owner's deletion workflow; export location metadata: create, update, and delete metadata on foreign export locations; access rule listing: disclose IPs, usernames, and CephFS keys. Any authenticated project member can exploit these operations on any public share. The share UUID is visible since the share is public.

Referencias

• launchpad.net/bugs/2161412ISSUE-TRACKING
• openwall.com/lists/oss-security/2026/10/20/18MAILING-LIST · VENDOR-ADVISORY
• security.openstack.org/ossa/OSSA-2026-046.htmlVENDOR-ADVISORY
• www.openwall.com/lists/oss-security/2026/10/20/18

Historial de la alerta

1. 21 OCT · 04:43VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.