Vulnerabilidades Críticas no Ironic Expõem OpenStack Bare Metal a Traversal de Caminho e Execução de Código
Atualizações de segurança do Ubuntu resolvem três vulnerabilidades críticas no OpenStack Ironic que permitem que atacantes autenticados atravessem sistemas de arquivos, injetem código malicioso e acessem arquivos sensíveis. Organizações executando condutores Ironic devem aplicar patches imediatamente.
TL;DR
- Vulnerabilidade de traversal de caminho (CVE-2026-48681) permite sobrescrita arbitrária de arquivo em condutores Ironic via imagens ISO manipuladas
- Falha de injeção de linha de comando de kernel (CVE-2026-46447) permite injeção de script durante inicialização de nó, arriscando execução remota de código
- Controles de acesso insuficientes em templates PXE (CVE-2026-44917) permitem leitura de arquivos sensíveis do condutor por usuários autenticados
- Todas as três vulnerabilidades requerem acesso autenticado com privilégios, mas representam risco significativo em ambientes OpenStack multi-tenant
- Patch Ubuntu USN-8421-1 resolve todos os problemas; implantação imediata recomendada para implantações em produção
OpenStack Ironic, o serviço de provisionamento de bare metal, contém três vulnerabilidades relacionadas descobertas por Dmitry Tantsur e Tuomo Tanskanen que coletivamente expõem condutores Ironic à manipulação de sistema de arquivos, execução de código e divulgação de informações. Embora a exploração exija acesso autenticado com privilégios elevados, a superfície de ataque permanece significativa em ambientes de infraestrutura compartilhada.
As vulnerabilidades abrangem falhas de validação de entrada no tratamento de imagens ISO, parâmetros de kernel e controles de acesso a templates. Cada falha compromete independentemente a segurança do condutor; combinadas, representam um risco crítico para o gerenciamento de infraestrutura bare metal. Ubuntu lançou o aviso de segurança USN-8421-1 para resolver todos os três problemas.
Detalhes Técnicos das Vulnerabilidades
- CVE-2026-48681: Validação de caminho insuficiente durante o processamento de imagens ISO permite que atacantes atravessem diretórios e sobrescrevam arquivos arbitrários no host do condutor
- CVE-2026-46447: Parâmetros de linha de comando de kernel não validados permitem injeção de scripts maliciosos executados durante sequências de provisionamento e inicialização de nós
- CVE-2026-44917: Controles de acesso excessivamente permissivos em templates PXE personalizados permitem que usuários autenticados leiam arquivos de configuração e credenciais sensíveis
Avaliação de Risco e Mitigação
- O vetor de ataque requer acesso autenticado com privilégios administrativos ou de operador, limitando a exposição em redes adequadamente segmentadas
- Ambientes bare metal frequentemente gerenciam infraestrutura crítica; o comprometimento poderia afetar a integridade e disponibilidade de cargas de trabalho downstream
- Fraquezas em validação de entrada e controles de acesso sugerem necessidade de defesa em profundidade: segmentação de rede, logging de auditoria e aplicação de privilégio mínimo
- Organizações devem priorizar a aplicação de patches em implantações Ironic e revisar logs recentes do condutor para uploads ISO suspeitos ou modificações de parâmetros
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.