🇰🇷 한글 설명
OpenStack Cyborg 16.0.1 이전 버전에서 ARQ(Accelerator Request) API가 프로젝트 소유권을 어떤 계층에서도 강제하지 않습니다. project_id 컬럼이 항상 NULL이며, DB 쿼리에 프로젝트 필터링이 없고, 정책 검사가 대상 리소스가 아닌 호출자의 project_id를 자기 자신과 비교하고 있습니다. 이로 인해 인증된 일반 사용자가 다른 프로젝트의 인스턴스에 바인딩된 ARQ를 삭제하는 등 테넌트 간 서비스 거부(DoS)가 가능합니다.
💡 쉬운 설명
클라우드 가속기 관리 기능에서 사용자가 자기 프로젝트가 아닌 다른 사용자의 자원까지 조작할 수 있는 결함입니다. 공격자는 일반 계정만으로 타인의 가속기 요청을 삭제해 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
In OpenStack Cyborg before 16.0.1, the Accelerator Request (ARQ) API does not enforce project ownership at any layer. The project_id column in the database is never populated (NULL for every ARQ), database queries have no project filtering, and policy checks are self-referential (the authorize_wsgi decorator compares the caller's project_id with itself rather than the target resource). Any authenticated non-admin user can complete various actions such as deleting ARQs bound to other projects' instances, aka cross-tenant denial of service.
📍 영향받는 시스템
OpenStack Cyborg 16.0.1 미만 버전
⚔️ 공격 벡터
일반 권한의 인증된 사용자가 ARQ API를 호출해 다른 프로젝트의 ARQ를 삭제하거나 조작
🛡️ 대응 방법
OpenStack Cyborg 16.0.1 이상으로 업그레이드
🔧 검증 코드
출력된 Version 값이 16.0.1 미만이면 취약하며, 16.0.1 이상이면 패치가 적용된 것입니다.
pip show openstack-cyborg 2>/dev/null | grep -i version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
💻 영향받는 소프트웨어
Windows iSCSI Target Service