漏洞概述 漏洞编号: CVE-2026-44918 漏洞标题: [OSSA-2026-026] 由于对子节点的检查不足导致的跨所有者节点操作 漏洞描述: 该漏洞允许创建与父节点不同所有者的子节点，只要其他节点可以通过项目角色查看。如果攻击者知道父节点的UUID，则节点所有权检查会被绕过。这可能导致以下问题： 1. 在父节点上关闭电源时，子节点可能无法关闭。 2. 任何在子节点上运行的清理/部署/服务停止操作可能会失败，无论RBAC和所有权如何。 影响范围 影响项目: Ironic 状态: 已确认 重要性: 关键 分配给: Dmitry Tantsur 修复方案 1. 补丁: 提供了多个补丁文件，包括： - - - - - - - 2. 补丁内容: - 补丁文件以 格式提供，具体代码内容未在截图中显示。 3. 补丁应用: - 补丁文件已合并到 中，可以通过以下命令应用： 其他信息 报告者: Jay Faulkner 审查者: Julia Kreger 相关CVE: CVE-2026-44918 补丁状态: 补丁已提交并等待审查和合并。 总结 该漏洞涉及Ironic项目中由于对子节点的所有权检查不足，导致跨所有者节点操作的安全问题。修复方案包括多个补丁文件，旨在防止创建与父节点不同所有者的子节点，并确保节点操作的安全性。