p PatchFirst

CVE-2026-71192

CVE-2026-71192

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

In OpenStack Swift through 2.38.0, the S3API middleware does not sanitize Swift-native control headers (X-Copy-From, X-Copy-From-Account) from S3 API requests when s3_acl=true. An attacker can inject these headers into a signed PUT request targeting their own bucket, causing Swift to perform a server-side copy from another tenant's private object. The source object authorization is bypassed because the S3API middleware has already authorized the request against the destination. The attacker can read any object whose project_id, container name, and object name are known, regardless of the source object's ACLs or ownership. This requires the non-default s3_acl=true configuration.

CVSS 6.0 · Media · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • swift

    Versiones
    • ≥ 2.18.0, < 2.35.4: Afectada (semver)
    • ≥ 2.36.0, < 2.36.3: Afectada (semver)
    • ≥ 2.37.0, < 2.37.3: Afectada (semver)
    • 2.38.0: Afectada (semver)

    Actualiza a 2.35.4; Actualiza a 2.36.3; Actualiza a 2.37.3

  • swift Debian:12

    Versiones
    • 2.30.0-4
    • 2.30.1-0+deb12u1
    • 2.30.1-0+deb12u2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.30.1-0+deb12u3

    Actualiza a 2.30.1-0+deb12u3

  • swift Debian:13

    Versiones
    • 2.35.0-4
    • 2.35.1-0+deb13u1
    • 2.35.1-0+deb13u2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.35.1-0+deb13u3

    Actualiza a 2.35.1-0+deb13u3

  • swift Debian:14

    Versiones
    • 2.35.0-4
    • 2.35.1-1
    • 2.35.1-2
    • 2.36.0-1
    • 2.36.0-2
    • 2.36.0-3
    • 2.36.0-4
    • 2.36.0-5
    • 2.36.0-6
    • 2.36.0-7
    • 2.36.0-8
    • 2.37.0-1
    • 2.37.1-1
    • 2.37.1-2
    • 2.37.1-3
    • 2.37.1-4
    • 2.37.1-5
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.37.1-6

    Actualiza a 2.37.1-6

  • swift Ubuntu:16.04:LTS

    Versiones
    • 2.5.0-0ubuntu1
    • 2.7.0-0ubuntu2
    • 2.7.0-0ubuntu2.1
    • 2.7.1-0ubuntu1
    • 2.7.1-0ubuntu2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • swift Ubuntu:18.04:LTS

    Versiones
    • 2.15.1-0ubuntu3
    • 2.16.0-0ubuntu1
    • 2.16.0-0ubuntu2
    • 2.17.0-0ubuntu1
    • 2.17.1-0ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • swift Ubuntu:20.04:LTS

    Versiones
    • 2.23.0-0ubuntu1
    • 2.23.1-0ubuntu1
    • 2.24.0~git2019121715.e890b0f0f-0ubuntu1
    • 2.24.0-0ubuntu1
    • 2.24.1~git2020032711.712bf3c9f-0ubuntu2
    • 2.24.1~git2020041316.a495f1e32-0ubuntu1
    • 2.25.0-0ubuntu0.20.04.1
    • 2.25.1-0ubuntu1
    • 2.25.2-0ubuntu1
    • 2.25.2-0ubuntu1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • swift Ubuntu:22.04:LTS

    Versiones
    • 2.28.0+git2021090911.5d52afbe4-0ubuntu1
    • 2.28.0+git2021120815.1859f2e16-0ubuntu1
    • 2.28.0+git2021121320.876377435-0ubuntu1
    • 2.28.0+git2022011309.32da73f5c-0ubuntu1
    • 2.29.0+git2022030314.3ff3076ce-0ubuntu1
    • 2.29.0+git2022030314.3ff3076ce-0ubuntu2
    • 2.29.1-0ubuntu1
    • 2.29.2-0ubuntu1
    • 2.29.2-0ubuntu1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • swift Ubuntu:24.04:LTS

    Versiones
    • 2.32.0+git2023090714.8ce961ed-0ubuntu1
    • 2.32.0+git2024021508.3aba22fd-0ubuntu1
    • 2.32.0+git2024030809.4135133a-0ubuntu1
    • 2.33.0-0ubuntu1
    • 2.33.0-0ubuntu1.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • swift Ubuntu:26.10

    Versiones
    • 2.37.1-0ubuntu2
    • 2.38.0+git20260812.91.3064444-0ubuntu1
    • 2.38.1-0ubuntu1
    • 2.38.2-0ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • swift Ubuntu:26.04:LTS

    Versiones
    • 2.36.0-0ubuntu1
    • 2.37.0-0ubuntu1
    • 2.37.1-0ubuntu2
    • 2.37.1-0ubuntu2.1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →