یک آسیب‌پذیری از نوع Server-Side Request Forgery (SSRF) با شناسه CVE-2026-51772 در Image API (نسخه ۲) مربوط به سرویس OpenStack Glance شناسایی شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی زمانی رخ می‌دهد که گزینه پیکربندی show_multiple_locations در فایل glance-api.conf فعال باشد. در این حالت، یک مهاجم احراز هویت شده (Authenticated Attacker) می‌تواند با ارسال یک درخواست HTTP PATCH دست‌کاری شده، ویژگی locations یک تصویر (Image) را که در وضعیت queued قرار دارد، تغییر دهد.
تاثیرات احتمالی
بهره‌برداری از این آسیب‌پذیری به عامل تهدید اجازه می‌دهد تا درخواست‌های HTTP را از سمت سرور ارسال کرده و احتمالاً به منابع داخلی شبکه که برای کاربران خارجی غیرقابل دسترس هستند، دسترسی پیدا کند یا سرویس‌های داخلی را هدف قرار دهد.
توصیه‌های امنیتی
- بررسی تنظیمات
glance-api.confو ارزیابی نیاز به فعال بودن گزینهshow_multiple_locations. - به‌روزرسانی سرویس OpenStack Glance به آخرین نسخه‌های اصلاح شده.
- اعمال محدودیت‌های دسترسی در سطح شبکه برای کاهش اثرات احتمالی حملات SSRF.
