CVE-2026-22797: OpenStack Keystonemiddleware: bypass de autenticação por cabeçalhos de identidade forjados

Visão geral

A CVE-2026-22797 é uma falha no middleware external_oauth2_token do keystonemiddleware do OpenStack. Segundo o registro, o middleware não higieniza os cabeçalhos de autenticação recebidos antes de processar tokens OAuth 2.0. O registro classifica a fraqueza como CWE-290, Authentication Bypass by Spoofing.

Impacto

O registro afirma que um atacante autenticado que envie cabeçalhos de identidade forjados pode escalar privilégios ou se passar por outros usuários.
O vetor CVSS 3.1 registrado é AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L, com pontuação base de 9.9 (crítica).
O vetor marca o escopo como alterado (S:C). Isso sugere que o impacto pode ir além do componente vulnerável (inferência a partir do vetor).

Produtos e versões afetadas

Produto: keystonemiddleware do OpenStack.
Segundo a descrição, as faixas afetadas são 10.5 até 10.7 anteriores à 10.7.2, 10.8 e 10.9 anteriores à 10.9.1, e 10.10 até 10.12 anteriores à 10.12.1.
O registro afirma que todas as implantações que usam o middleware external_oauth2_token são afetadas.
O campo estruturado de correções está vazio. Os limites acima vêm do texto da descrição, não de uma lista de correções.
O registro não informa uma versão corrigida para a linha 10.8.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA. O SSVC classifica a exploração como none e a automatizabilidade como no. Nas fontes consultadas não há exploração confirmada. A probabilidade EPSS é 0.00652, com percentil de 0.50614.

Correção e mitigação

Consulte os avisos do fornecedor e da distribuição para a sua linha de versões e migre para uma versão igual ou posterior ao limite corrigido, como 10.7.2, 10.9.1 ou 10.12.1.
Para a linha 10.8, confirme a versão corrigida com o fornecedor, pois o registro não informa uma.
Se o middleware external_oauth2_token não for necessário, desative-o até que a versão corrigida seja implantada.
Quando o middleware for necessário, garanta que um componente de borda confiável remova ou sobrescreva cabeçalhos relacionados à identidade antes que as requisições cheguem ao serviço.
Rotacione credenciais e revise atribuições de papéis de contas que possam ter sido abusadas.

Orientação para detecção

Revise os logs do gateway e do serviço em busca de requisições com cabeçalhos de identidade ou papel vindos de origens não confiáveis.
Procure ações administrativas ou ações executadas em nome de outros usuários que não correspondam aos fluxos de identidade esperados.
Correlacione eventos de autenticação com mudanças em atribuições de projeto ou de papel.

Limitações das informações disponíveis

A lista estruturada de correções está vazia, então as versões corrigidas foram extraídas apenas do texto da descrição.
O registro não descreve o caminho de código exato do tratamento de cabeçalhos nem fornece detalhes de reprodução, e esta análise não os inclui.
As referências da Red Hat e da lista oss-security constam no registro, mas seu conteúdo não faz parte do registro e não foi verificado aqui.
O status da fonte aparece como Deferred, e o registro não explica o que esse status significa.
A data EPSS no registro (2026-10-23) é posterior à data de publicação, e seu significado não é explicado.

Perguntas frequentes

Quais versões do keystonemiddleware do OpenStack são afetadas pela CVE-2026-22797?

Segundo a descrição, as faixas afetadas são 10.5 até 10.7 anteriores à 10.7.2, 10.8 e 10.9 anteriores à 10.9.1, e 10.10 até 10.12 anteriores à 10.12.1. O registro não informa uma versão corrigida para a linha 10.8.

A CVE-2026-22797 é explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.