🇰🇷 한글 설명
OpenStack Designate 22.0.1 미만 버전에서 존 생성 시 검증 로직이 대상 풀에만 국한되어 발생하는 취약점입니다. 인증된 사용자가 AttributeFilter 스케줄러를 이용해 다른 풀에 중복된 존을 생성함으로써 타 테넌트의 DNS를 하이재킹하거나 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
공격자가 시스템의 허점을 이용해 다른 사용자의 인터넷 주소(DNS)를 가로채거나 먹통으로 만들 수 있는 심각한 보안 결함입니다. 특정 설정이 활성화된 환경에서 다른 사용자의 영역에 침범하여 가짜 사이트로 유도할 수 있습니다.
🇺🇸 원문 (English)
In OpenStack Designate before 22.0.1, zone creation checks (_is_subzone, _is_superzone, and the duplicate-zone DB constraint) are scoped to the target pool only. An authenticated user can bypass these checks by scheduling a zone to a different pool via the AttributeFilter scheduler, creating an overlapping zone that conflicts with another tenant's zone. This enables cross-tenant DNS hijack (redirecting traffic to attacker-controlled IPs) and DNS denial of service (NODATA responses). Exploitation requires a multi-pool deployment with AttributeFilter enabled in scheduler_filters, which is a non-default but documented and supported configuration for self-service tiering.
📍 영향받는 시스템
OpenStack Designate versions before 22.0.1 (with AttributeFilter enabled)
⚔️ 공격 벡터
AttributeFilter 스케줄러를 사용하여 검증 범위를 벗어난 다른 풀에 중복 존을 생성하는 방식
🛡️ 대응 방법
OpenStack Designate를 22.0.1 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Designate 버전을 확인하여 22.0.1 미만인지 확인하십시오.
openstack --version | grep -E 'designate' || echo 'Designate version not found via openstack cli'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H
💻 영향받는 소프트웨어
Windows iSCSI Target Service