CVE-2026-71195
En OpenStack Manila anterior a la 23.0.1, varias operaciones de la API de Manila sobre recursos compartidos públicos no verifican que quien realiza la llamada sea propietario del recurso compartido. Los controladores de la API autorizan las operaciones en el contexto de proyecto del propio llamante y, a continuación, cargan un recurso compartido público ajeno sin volver a autorizar la operación frente al propietario real del recurso.
Leer descripción completaMostrar menos
Esto afecta a las siguientes operaciones: allow_access: concede acceso de lectura/escritura al plano de datos sobre el recurso compartido de otro inquilino; deny_access: revoca las reglas de acceso existentes del propietario; update_access: escala el nivel de acceso (por ejemplo, de ro a rw); create_share_backup: exfiltra datos del recurso compartido mediante una copia de seguridad creada en el proyecto del atacante; soft_delete: mueve un recurso compartido ajeno a la papelera; restore: interfiere con el flujo de eliminación del propietario; metadatos de la ubicación de exportación: crea, actualiza y elimina metadatos en ubicaciones de exportación ajenas; listado de reglas de acceso: revela direcciones IP, nombres de usuario y claves de CephFS. Cualquier miembro autenticado de un proyecto puede explotar estas operaciones sobre cualquier recurso compartido público. El UUID del recurso compartido es visible, ya que el recurso es público.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 9.9
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Probabilidad de explotación (EPSS)
FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1210Exploitation of Remote Serviceslateral movement90 % - Impacto principal
T1530Data from Cloud Storagecollection85 % - Impacto secundario
T1552Unsecured Credentialscredential access70 % - Impacto secundario
T1565Data Manipulationimpact60 %
Vector AV:N/PR:L/UI:N con PR:L implica T1210; el texto describe lectura y exfiltración de datos de shares ajenos y divulgación de claves CephFS.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-863
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-71195",
"cveTags": [],
"metrics": {
"cvssMetricV31": [
{
"type": "Secondary",
"source": "cve@mitre.org",
"cvssData": {
"scope": "CHANGED",
"version": "3.1",
"baseScore": 9.9,
"attackVector": "NETWORK",
"baseSeverity": "CRITICAL",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H",
"integrityImpact": "HIGH",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "HIGH",
"privilegesRequired": "LOW",
"confidentialityImpact": "HIGH"
},
"impactScore": 6,
"exploitabilityScore": 3.1
}
]
},
"affected": [
{
"source": "cve@mitre.org",
"affectedData": [
{
"repo": "https://opendev.org/openstack/manila",
"vendor": "OpenStack",
"product": "Manila",
"versions": [
{
"status": "affected",
"version": "1.0.0",
"lessThan": "20.0.3",
"versionType": "semver"
},
{
"status": "affected",
"version": "21.0.0",
"lessThan": "21.0.3",
"versionType": "semver"
},
{
"status": "affected",
"version": "22.0.0",
"lessThan": "22.0.2",
"versionType": "semver"
},
{
"status": "affected",
"version": "23.0.0",
"lessThan": "23.0.1",
"versionType": "semver"
}
],
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-21T06:16:49.393",
"references": [
{
"url": "https://launchpad.net/bugs/2161412",
"source": "cve@mitre.org"
},
{
"url": "https://openwall.com/lists/oss-security/2026/10/20/18",
"source": "cve@mitre.org"
},
{
"url": "https://security.openstack.org/ossa/OSSA-2026-046.html",
"source": "cve@mitre.org"
},
{
"url": "http://www.openwall.com/lists/oss-security/2026/10/20/18",
"source": "af854a3a-2127-422b-91ae-364da2661108"
}
],
"vulnStatus": "Received",
"weaknesses": [
{
"type": "Secondary",
"source": "cve@mitre.org",
"description": [
{
"lang": "en",
"value": "CWE-863"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "In OpenStack Manila before 23.0.1, multiple Manila API operations on public shares do not verify that the caller owns the share. The API controllers authorize operations against the caller's own project context, then load a foreign public share without re-authorizing against the share's actual owner. This affects the following operations: allow_access: grant data-plane read/write access to another tenant's share; deny_access: revoke the owner's existing access rules; update_access: escalate access level (e.g., ro to rw); create_share_backup: exfiltrate share data via a backup created under the attacker's project; soft_delete: move a foreign share to the recycle bin; restore: interfere with the owner's deletion workflow; export location metadata: create, update, and delete metadata on foreign export locations; access rule listing: disclose IPs, usernames, and CephFS keys. Any authenticated project member can exploit these operations on any public share. The share UUID is visible since the share is public."
}
],
"lastModified": "2026-10-21T07:17:17.780",
"sourceIdentifier": "cve@mitre.org"
}