OpenStack Mistral: OS-Command-Injection in der Aktion std.ssh_proxied
Zusammenfassung
Die Aktion std.ssh_proxied in OpenStack Mistral übergibt einen vom Aufrufer gelieferten Wert proxy_command direkt an paramiko, noch bevor eine SSH-Verbindung aufgebaut wird. Ein authentifiziertes Projektmitglied kann so einen beliebigen lokalen Befehl auf dem Executor-Host unter dem Dienstkonto des Executors ausführen, auch wenn die SSH-Verbindung nie erfolgreich ist. Betroffen sind nur Deployments, welche die Aktion std.ssh_proxied zulassen, was der Standardkonfiguration entspricht.
Betroffen
- OpenStack Mistral vor 20.1.1
- OpenStack Mistral 21.0.0 vor 21.0.1
- OpenStack Mistral 22.0.0 vor 22.0.1
- OpenStack Mistral 23.0.0: als betroffen aufgeführt. Der CNA-Eintrag markiert die Standardkonfiguration als nicht betroffen, während das Advisory Deployments mit erlaubter Aktion std.ssh_proxied (der Standard) als betroffen nennt. Beim Hersteller klären.
Behoben in
- 20.1.1
- 21.0.1
- 22.0.1
- Fixversion für 23.x: Unbekannt.
Umgehung
- Keine Workaround-Massnahme des Herstellers dokumentiert.
- Empfehlung der Analyse: Bis zum Patch die Aktion std.ssh_proxied einschränken oder deaktivieren und einschränken, wer Action Executions erstellen kann. Vorher die Auswirkungen prüfen, da die Aktion für Wartungsworkflows von VMs genutzt wird.
Ausnutzung
- Gemäss CISA SSVC wird die Ausnutzung als poc eingestuft (ein Proof of Concept existiert); automatisierbar: nein.
- Keine Ausnutzung in freier Wildbahn gefunden; nicht gegen den CISA-KEV-Katalog geprüft.
- EPSS 0.00428 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- OpenStack Mistral auf 20.1.1, 21.0.1 oder 22.0.1 patchen, je nach eingesetzter Version; für 23.x das Advisory prüfen.
- Bis zum Patch std.ssh_proxied einschränken oder deaktivieren und prüfen, wer Action Executions erstellen darf.
- Prüfen, ob eine OpenStack-/Mistral-Installation für Mandanten oder Projektmitglieder erreichbar ist.
- Executor-Hosts auf unerwartete Subprozesse überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Launchpad bug 2162100 launchpad.net
- OpenStack Security Advisory OSSA-2026-044 security.openstack.org
- Ubuntu CVE-2026-93858 ubuntu.com
- OSV DEBIAN-CVE-2026-93858 osv.dev
- Strix CVE-2026-93858 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.