Anmelden
Deutsch English Español Polski
Mittel

OpenStack Keystone has an Authorization Bypass

  • Veröffentlicht: 28.05.2026
  • Aktualisiert: 11.10.2026 15:17

An issue was discovered in OpenStack Keystone before 29.0.2. The Keystone RBAC policy enforcer in enforce_call unconditionally merges the raw JSON request body into the policy enforcement dictionary via policy_dict.update(json_input.copy()), overwriting trusted target data that was previously set from database lookups. Because flask.request.get_json is called with force=True, this works regardless of Content-Type or HTTP method. Any authenticated user can inject arbitrary policy target attributes (e.g., user_id, project_id) into the request body to bypass RBAC checks and perform unauthorized operations on resources belonging to other users or projects. This was introduced in commit 5ea59f52 (Rocky/14.0.0).

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) keystone >= 14.0.0, < 27.0.2, >= 28.0.0, < 28.0.2, >= 29.0.0, < 29.0.2 27.0.2, 28.0.2, 29.0.2

Verweise

CVSS-Wert 6/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:L
Schwäche (CWE)
CWE-639, CWE-863
Plattform
Python (PyPI)
Paket
keystone
Veröffentlicht
28.05.2026
Aktualisiert
11.10.2026 15:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-600 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-2r23-2g6v-2m5f - CC BY 4.0

Schwachstellenhistorie: keystone

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (42) im Archiv
Einträge insgesamt
42
Erste → letzte
09.2012 05.2026
Ohne Fix
3
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 1
  • Hoch 18
  • Mittel 21
  • Niedrig 1
  • Nicht bewertet 1

Veröffentlichungen pro Jahr

früher: 13

Schweregrad:
  1. OpenStack Keystone has an Authorization Bypass dieser Eintrag
    Mittel · 6.0 CVE-2026-42999 >= 14.0.0, < 27.0.2, >= 28.0.0, < 28.0.2, >= 29.0.0, < 29.0.2 27.0.2, 28.0.2, 29.0.2
  2. OpenStack Keystone has an Incorrect Authorization Issue
    Hoch · 7.9 CVE-2026-43001 >= 13.0.0, <= 29.0.1 keine Korrektur
  3. OpenStack Keystone: LDAP identity backend does not convert enabled attribute to boolean
    Hoch · 7.7 CVE-2026-40683 < 28.0.1 28.0.1
  4. OpenStack Keystone allows /v3/ec2tokens or /v3/s3tokens request with valid AWS Signature to provide Keystone authorization.
    Hoch · 7.5 CVE-2025-65073 < 26.0.1, >= 27.0.0.0rc1, < 27.0.0, >= 28.0.0.0rc1, < 28.0.0 26.0.1, 27.0.0, 28.0.0
  5. Openstack Keystone Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2021-3563 <= 21.0.0 keine Korrektur
  6. OpenStack Keystone allows information disclosure during account locking
    Hoch · 7.5 CVE-2021-38155 >= 10.0, < 16.0.2, >= 17.0, < 17.0.1, >= 18.0, < 18.0.1, >= 19.0, < 19.0.1 16.0.2, 17.0.1, 18.0.1, 19.0.1
  7. OpenStack Keystone Improper Authentication vulnerability
    Hoch CVE-2012-4456 >= 2012.1, < 2012.1.2 2012.1.2
  8. An issue was discovered in OpenStack Keystone before 15.0.1, and 16.0.0. Any user authenticated within a limited scope (trust/oauth/application credential) can create an EC2 credential with an escalat
    Hoch · 8.8 CVE-2020-12689 < 15.0.1 15.0.1
  9. An issue was discovered in OpenStack Keystone before 15.0.1, and 16.0.0. Any authenticated user can create an EC2 credential for themselves for a project that they have a specified role on, and then p
    Hoch · 8.8 CVE-2020-12691 < 15.0.1 15.0.1
  10. Insufficient Session Expiration in OpenStack Keystone
    Hoch · 8.8 CVE-2020-12690 < 15.0.1, >= 16.0.0.0rc1, < 16.0.0 15.0.1, 16.0.0
  11. OpenStack Keystone 15.0.0 and 16.0.0 is affected by Data Leakage in the list credentials API. Any user with a role on a project is able to list any credentials with the /v3/credentials API when enforc
    Hoch · 8.8 CVE-2019-19687 < 16.0.1 16.0.1
  12. An authorization-check flaw was discovered in federation configurations of the OpenStack Identity service (keystone). An authenticated federated user could request permissions to a project and uninten
    Hoch · 7.2 CVE-2017-2673 >= 9.0.0, < 10.0.2, >= 11.0.0, < 11.0.1 10.0.2, 11.0.1
  13. OpenStack Identity Keystone and keystonemiddleware Insufficiently Protected Credentials
    Hoch · 7.5 CVE-2015-7546 >= 8.0, < 8.1.0, >= 9.0.0.0b1, < 9.0.0.0b2 8.1.0, 9.0.0.0b2
  14. OpenStack Identity (Keystone) Multiple vulnerabilities in revocation events
    Hoch · 6.5 CVE-2014-5251 < 8.0.0a0 8.0.0a0
  15. OpenStack Identity (Keystone) UUID v2 tokens does not expire with revocation events
    Hoch · 6.5 CVE-2014-5252 < 8.0.0a0 8.0.0a0
  16. OpenStack Keystone Domain-scoped tokens don't get revoked
    Hoch · 6.5 CVE-2014-5253 < 8.0.0a0 8.0.0a0
  17. OpenStack Identity (Keystone) DoS through V3 API authentication chaining
    Hoch · 7.5 CVE-2014-2828 < 8.0.0a0 8.0.0a0
  18. OpenStack Identity (Keystone) Trustee token revocations does not work with memcache backend
    Hoch · 6.5 CVE-2014-2237 < 8.0.0a0 8.0.0a0
  19. OpenStack Keystone, as used in OpenStack Folsom 2012.2, does not properly implement token expiration, which allows remote authenticated users to bypass intended authorization restrictions by creating
    Hoch · 5.9 CVE-2012-5563 alle Versionen keine Korrektur
  20. OpenStack Keystone Allows Remote User Account Creation
    Hoch · 7.5 CVE-2012-3542 < 2012.1 2012.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.