OpenStack Keystone Federation Token Expiry Bypass Vulnerability (CVE-2026-44394) and Patch

脆弱性概要 脆弱性名称: フェデレーショントークンのリスコーピングによる認証期限回避 (CVE-2026-44394) 脆弱性説明: OpenStack Keystoneのフェデレーショントークン再割り当てメカニズムに、認証期限回避の脆弱性が存在します。フェデレーショントークンを使用して認証を行ったユーザーが新しいスコープ付きトークンを要求する際、元のトークンの有効期限が新しいトークンに伝播されません。その結果、新しいトークンは新しいデフォルトの有効時間（TTL）を取得し、ユーザーはトークンを繰り返し再割り当てすることでセッションの存続期間を無期限に延長し、トークン期限ポリシーを回避できます。これにより、アップストリームアイデンティティプロバイダでアカウントが無効化された後も、アクセスが継続される可能性があります。 影響範囲 影響を受ける製品: OpenStack Keystone 影響を受けるバージョン: <=27.0.0 修正バージョン: なし 深刻度: CVE-2026-44394 CVSS評価: 3.1 (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:N) 脆弱性タイプ: セッション期限切れの不十分さ 修正方策 修正コード: - : 関数がレスポンスコンテキストで 属性を欠いています。 - : フェデレーション以外のパスのトークン認証ではトークン期限が正しく維持されます（フェデレーションパスでは欠如しています）。 - : 明示的な期限が存在しないため、フォールバックロジックによってトークンがデフォルトの期限にリセットされます。 修正パッチ: - パッチは に提出されています。 - パッチの内容は以下の通りです： POCコード その他の情報 レポート者: Erichen, 中国科学院計算技術研究所 CVE参照: CVE-2026-43998, CVE-2026-43999, CVE-2026-43000, CVE-2026-43001, CVE-2026-44394 修正ステータス: 修正が複数のブランチ（master, stable/2024.1, stable/2025.1, stable/2025.2, stable/2026.1）に提出済み

目標達成 すべての支援者に感謝 — 100%達成しました！

OpenStack Keystone Federation Token Expiry Bypass Vulnerability (CVE-2026-44394) and Patch

目標達成すべての支援者に感謝 — 100%達成しました！