„`html

CVE-2026-54421: Offenlegung sensitiver Informationen in OpenStack Ironic

Zusammenfassung

OpenStack Ironic bis Version 35.0.1 weist eine Sicherheitslücke auf, die zur Offenlegung sensibler Daten führt. Bei der Verwendung von PATCH-Requests zur Aktualisierung von Volume-Properties können iSCSI-Anmeldedaten und andere vertrauliche Informationen unverschlüsselt zurückgegeben werden. Die Sicherheitslücke tritt ausschließlich bei PATCH-Operationen auf; POST-Requests sind nicht betroffen.

Betroffene Systeme

• OpenStack Ironic Version 35.0.1 und älter
• Alle Deployment-Umgebungen mit Ironic-Konfiguration für Block-Storage
• Systeme mit iSCSI-Volume-Integration

Technische Details

Angriffsvektor: Network (CVSS Score: 6.8 – Medium)

Die Vulnerability existiert in der HTTP PATCH-Implementierung zur Aktualisierung von Volume-Properties. Wenn authentifizierte Benutzer Änderungen an autorisierten Volume-Feldern durchführen, werden Responsedaten ungenügend gefiltert. Dies führt dazu, dass iSCSI-Target-Credentials, Authentifizierungstokens und weitere sensible Volume-Metadaten in der HTTP-Response offengelegt werden.

Der kritische Unterschied zwischen PATCH und POST liegt in der Response-Handhabung: PATCH-Operationen geben die aktualisierten Objekte ohne Datensensitivierung zurück, während POST-Requests korrekt implementierte Redaktion bieten.

Empfohlene Massnahmen

• Umgehungslösung: Ausschließliche Verwendung von POST-Requests für Volume-Updates bis zum Patch-Release
• Überprüfung von Zugriffslogs auf potenzielle Data Exfiltration durch PATCH-Requests
• Netzwerk-Segmentierung für Ironic-API-Zugriffe implementieren
• Monitoring für HTTP PATCH-Requests zu Volume-Endpoints aktivieren
• Regelmäßige Rotation iSCSI-basierter Credentials durchführen

Bewertung

CVSS v3.1 Score: 6.8 (Medium)

Patch-Status: Nicht verfügbar

Die Schweregrad-Einstufung als Medium ist angemessen, da die Ausnutzung vorherige Authentifizierung erfordert und spezifische PATCH-Operationen betreffen. Das Fehlen eines Patches erfordert jedoch sofortige Mitigationsmaßnahmen in produktiven Umgebungen.

„`