LONDON (IT BOLTWISE) – OpenStack Manila behebt mit Patches mehrere Wege, über die angemeldete Nutzer öffentliche Freigaben fremder Projekte manipulieren können. Ausgelöst wird das Problem durch eine fehlende Rechteprüfung: Die API autorisiert den Aufruf zwar im Projektkontext, prüft danach aber nicht erneut gegen den tatsächlichen Eigentümer der Freigabe. Betroffen sind vor allem Installationen auf den Versionen 20.0.x, 21.0.x, 22.0.x und 23.0.x unterhalb der genannten Fixstände. Der Fehler kommt auf einen CVSS-Score von 9,9 und hat einen EPSS-Score von 0,48.
Wer OpenStack Manila für gemeinsame Dateisysteme nutzt, sollte die jüngste Schwachstelle in den Controller-Funktionen von Manila zeitnah in den Patchplan aufnehmen. Im Zentrum steht CVE-2026-71195 (EUVD-2026-107046) mit einem CVSS-Score von 9,9 und einem EPSS-Score von 0,48. In der Praxis bedeutet das: Angemeldete Nutzer, die in irgendeinem Projekt Mitglied sind, können Operationen auf Public Shares ausführen, ohne dass sie gegen den tatsächlichen Eigentümer dieser Freigaben erneut autorisiert werden. Genau diese Lücke ist gefährlich, weil sie sich nicht auf reine Lesefähigkeit reduziert, sondern auch Änderungen an Zugriffsregeln und Backups ermöglicht.
Technisch betrachtet handelt es sich um ein Autorisierungsproblem in der API-Schicht von Manila. Laut Sicherheitsbeschreibung prüfen mehrere API-Funktionen bei öffentlichen Freigaben nicht sauber, ob die aufrufende Instanz tatsächlich Eigentümer der betreffenden Freigabe ist. Die Controller führen die Autorisierung zunächst anhand des Projektkontexts des Aufrufenden durch, laden dann jedoch eine fremde öffentliche Freigabe und erlauben daran weitere Vorgänge. Das ist ein klassisches Muster für sogenannte „Authorization Bypass“-Szenarien: Die Systemlogik verbindet die Entscheidung für Rechte mit dem falschen Bezugsobjekt, sodass ein legitimer Zugriff in einem Projekt zur unbefugten Steuerung eines anderen Objekts missbraucht werden kann.
Welche Konsequenzen daraus folgen, zeigt die Liste der betroffenen Operationen. So können Angreifer unter anderem Zugriff gewähren (allow_access), Zugriff entziehen (deny_access) und Zugriffsstufen aktualisieren (update_access), etwa von „read only“ auf „read and write“. Zusätzlich lassen sich Sicherungen anlegen (create_share_backup), bei denen Daten unter dem eigenen Projekt-Umfeld abgelegt werden, sowie das Löschen und Wiederherstellen von Freigaben über die Soft-Delete- und Restore-Mechanismen beeinflussen. Auch Metadaten für Exportorte sind nicht nur lesbar, sondern können angelegt, geändert oder gelöscht werden; außerdem werden Informationen für Zugriffslisten sichtbar, inklusive IP-Adressen, Benutzernamen und CephFS-Schlüssel. Besonders kritisch ist der Teil rund um den Umgang mit Zugriffsregeln, weil dadurch Daten aus einer fremden Freigabe nicht nur „mitlesen“, sondern anschließend auch gezielt wieder entziehen lassen.
Auf der Ebene, wie tief solche Operationen bis zum Speichersystem durchgreifen, hängt die tatsächliche Auswirkung vom eingesetzten Backend ab. Die Sicherheitsbeschreibung und die Tests der Entwickler deuten darauf hin, dass bestimmte sicherheitsrelevante Aktionen wie Löschen, Vergrößern, Verkleinern und Snapshot-Vorgänge bereits durch bestehende Richtlinien im Zusammenspiel mit dem Backend geschützt sind. Umgekehrt gilt das nicht in gleichem Maße für die Steuerung öffentlicher Freigaben über API-Operationen, weil die fehlerhafte Autorisierung genau hier ansetzt. Für Administratoren heißt das: Auch wenn nicht jede Manipulation zwangsläufig denselben Impact bis auf die Storage-Ebene hat, ist das Risiko als hoch einzustufen, weil die Angriffsfläche breit ist und vor allem indirekte Folgen wie Datenabfluss über Backups sowie Service-Störung durch Soft-Delete und Wiederherstellung entstehen.
OpenStack Manila ist dabei nicht beliebig alt betroffen, sondern auf konkrete Versionen und Release-Zweige begrenzt. Laut Sicherheitsangaben gelten als betroffen Manila 1.0.0 bis vor 20.0.3, Manila 21.0.0 bis vor 21.0.3, Manila 22.0.0 bis vor 22.0.2 sowie Manila 23.0.0 bis vor 23.0.1. Die Abhilfe erfolgt durch Updates auf die genannten Fixstände: Für 20.0.x (Epoxy) ist mindestens 20.0.3 nötig, für 21.0.x (Flamingo) 21.0.3, für 22.0.x (Gazpacho) 22.0.2 und für 23.0.x (Hibiscus) 23.0.1. Inhaltlich adressieren die Patches die Eigentümerprüfung bei Zugriffsregeln, Sicherungen, Replikaten sowie beim Löschen in den Papierkorb und beim Wiederherstellen öffentlicher Freigaben. Daneben begrenzt die Änderung die Metadaten-Schnittstellen stärker auf die Freigabe aus der URL und verschiebt bei fremden Exportorten die Antwort von 403 auf 404, damit kein Angreifer aus dem Statuscode zuverlässig auf das Vorhandensein einer Freigabe schließen kann.
Der Zeitverlauf der Meldung macht ebenfalls klar, warum schnelle Update-Zyklen in Open-Source-Infrastrukturen so wichtig sind. Chen YuXiang vom Institute of Computing Technology der Chinesischen Akademie der Wissenschaften meldete den Fehler am 21. Juli 2026 im Bug-Tracker; zunächst blieb der Fall intern, bevor das Team am 20. Oktober Bug und Kommentare freigab. In der Zwischenzeit identifizierten laut Sicherheitsbeschreibung Goutham Pacha Ravi und Carlos da Silva (beide werden im Hinweis als Red-Hat-nahe Sicherheitsforscher genannt) weitere Pfade für öffentliche Freigaben, während ein weiterer Sicherheitsforscher namens Yuliang Xiao unabhängig davon eine Metadaten-spezifische Schnittstellenvariante berichtete. Die Bestätigung des OpenStack-Teams erfolgte am 23. Juli; die öffentliche Veröffentlichung verzögerte sich dann offenbar länger als erwartet, bevor nach einem Kommentar vom 25. September zunächst bis zum Erscheinen von Hibiscus keine Sicherheitshinweise verfügbar waren. Für Betriebsteams ist das vor allem eine Erinnerung: Selbst bei klaren technischen Fixes kann die Zeit zwischen Entdeckung, Patch-Fertigung und Veröffentlichung entscheidend sein, daher sollte man Sicherheitsadvisories regelmäßig mit eigener Asset-Inventory-Logik abgleichen.
Für die Umsetzung in Unternehmen lohnt sich ein pragmatischer Blick auf die betroffenen Komponenten: Manila selbst, die Release-Versionen in den Cloud-Images und die konkreten Feature-Nutzungen rund um Public Shares. Weil die API-Fehler im Umgang mit Freigaben liegen, sollte nach einem Update nicht nur die Version verifiziert werden, sondern auch die Art der Freigaben in den betriebenen Projekten überprüft werden. Wer zudem unterschiedliche Storage-Backends einsetzt, kann anhand der Backend-spezifischen Schutzmechanismen besser einschätzen, welche Missbrauchswege im eigenen Setup den größten Schaden anrichten. In der Breite unterstreicht die Meldung außerdem, dass Autorisierungscodes in verteilten Systemen nicht „einmal pro Request“ funktionieren dürfen, sondern kontextbezogen für jedes Objekt, das später geladen oder verarbeitet wird, erneut konsistent geprüft werden muss.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OpenStack Manila: CVE-2026-71195 erlaubt Manipulation öffentlicher Freigaben" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OpenStack Manila: CVE-2026-71195 erlaubt Manipulation öffentlicher Freigaben" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OpenStack Manila: CVE-2026-71195 erlaubt Manipulation öffentlicher Freigaben« bei Google Deutschland suchen, bei Bing oder Google News!