CVE-2026-93856 Divulgación de información entre proyectos en OpenStack Cinder por la API de mensajes
En OpenStack Cinder hasta 29.0.0 puede ocurrir divulgación de información entre proyectos en la API de mensajes. Un usuario no administrador con rol member o reader a nivel de proyecto que realice la llamada "List messages" de la API de Block Storage v3.3 encuentra en la respuesta mensajes de usuario no expirados de otros proyectos, lo que filtra UUIDs de recursos de otros proyectos además del mensaje sobre esos recursos. Todas las implementaciones de Cinder están afectadas.
CVSS 3.1
- Probabilidad de explotación0,3 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
OpenStack Cinder
desde 9.0.0 hasta antes de 26.3.127.0.028.0.029.0.0
Qué hacer
- Verificá si usás Cinder y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
In OpenStack Cinder through 29.0.0, cross-project information disclosure can occur in the Messages API. A non-admin user with the project-scoped 'member' or 'reader' role making the Block Storage API v3.3 "List messages" call finds the non-expired user messages for other projects included in the response, resulting in the leakage of UUIDs of resources owned by other projects, in addition to the user message about the other projects' resources (which, by design, are sanitized generic messages). All Cinder deployments are affected.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.