OpenStack Manila พบ CVE-2026-71195: สิทธิ์ข้ามโครงการใน public share และ metadata

ทีมความปลอดภัย OpenStack เผยแพร่ประกาศ OSSA-2026-046 เมื่อวันที่ 20 ตุลาคม 2026 ระบุ CVE-2026-71195 ในบริการ Manila ซึ่งใช้จัดการ shared file systems บนคลาวด์ ประเด็นสำคัญคือขอบเขตระหว่างโครงการ: สมาชิกของโครงการหนึ่งอาจกระทำบางอย่างกับ public share หรือ export-location metadata ของอีกโครงการได้ภายใต้เงื่อนไขที่ประกาศระบุ สำหรับผู้ให้บริการคลาวด์และทีมที่ใช้ Manila แบบหลายผู้เช่า นี่เป็นข่าวที่ต้องตรวจการตั้งค่าและเวอร์ชัน ไม่ใช่เพียงดูว่าบริการยังตอบสนองปกติหรือไม่

ช่องโหว่กระทบส่วนใด

ประกาศต้นทางอธิบายปัญหาสองกลุ่มภายใต้ CVE เดียวกัน กลุ่มแรกเป็นการจัดการ public share โดยผู้ที่ไม่ใช่เจ้าของ: อาจแก้ access rules หรือ export-location metadata ของ public share ในโครงการอื่น และมีเส้นทางเพิ่มเติมที่เปิดให้ soft-delete, restore หรือสร้าง backup ของ public share ต่างโครงการได้ หาก storage backend ที่ใช้รองรับการเปลี่ยน access rules ดังกล่าว ผลอาจไปถึงการรบกวนสิทธิ์เข้าถึงของเจ้าของ share หรือผู้ใช้ที่ได้รับอนุญาต

กลุ่มที่สองอยู่ที่ API ของ export-location metadata ซึ่งไม่ได้จำกัดการค้นหา metadata ให้ผูกกับ share ที่ระบุในคำขออย่างถูกต้อง สมาชิกโครงการที่ผ่านการยืนยันตัวตนอาจระบุ UUID ของ export location ของโครงการอื่น พร้อมกับตัวระบุ share ที่ตนควบคุม เพื่ออ่าน แก้ หรือ ลบ metadata นั้นได้ ประกาศระบุว่ากรณีนี้ทำได้ง่ายขึ้นเมื่อมี public shares แต่ขอบเขตไม่ได้จำกัดอยู่เพียงคำว่า public ในทุกสถานการณ์ จึงต้องดูการใช้งาน export-location metadata จริงด้วย

ความแตกต่างนี้มีผลต่อการประเมินความเสี่ยง หากคลาวด์ไม่ได้เปิด public shares ความเสี่ยงจากปฏิบัติการกับ public share ย่อมต่างจากคลาวด์ที่เปิดใช้ แต่ถ้าระบบยังใช้ export-location metadata ก็ควรตรวจปัญหากลุ่มที่สองด้วย ไม่ควรสรุปว่าไม่เกี่ยวข้องเพียงเพราะปิดฟีเจอร์หนึ่งอยู่แล้ว

เวอร์ชันที่ประกาศระบุ

OpenStack ระบุ Manila เวอร์ชันที่ได้รับผลกระทบเป็นช่วงดังนี้: ตั้งแต่ 1.0.0 แต่ต่ำกว่า 20.0.3, ตั้งแต่ 21.0.0 แต่ต่ำกว่า 21.0.3, ตั้งแต่ 22.0.0 แต่ต่ำกว่า 22.0.2 และเวอร์ชัน 23.0.0 ผู้ดูแลควรเทียบกับแพ็กเกจและแพตช์ของดิสทริบิวชันที่ใช้งานจริง เพราะผู้จำหน่ายอาจ backport การแก้ไขโดยยังคงเลขเวอร์ชันแพ็กเกจต่างจาก upstream อย่าใช้ตัวเลข upstream ตัวเดียวตัดสินโดยไม่ดู changelog ของแพ็กเกจที่ติดตั้ง

ประกาศมีลิงก์แพตช์สำหรับสาขา 2025.1 Epoxy, 2025.2 Flamingo, 2026.1 Gazpacho, 2026.2 Hibiscus และสาขาพัฒนา 2027.1 Indri แต่ละสาขามี change แยกกัน ผู้ดูแลระบบควรใช้แพตช์หรืออัปเดตที่ตรงสาขา แล้วทดสอบกับ storage backend และ workflow ที่ใช้งานจริงก่อน rollout ทั้งคลัสเตอร์

วิธีตรวจและแก้สำหรับผู้ดูแลคลาวด์

เริ่มจากเก็บหลักฐานเวอร์ชัน Manila ของทุก control plane และตำแหน่งที่ให้บริการ API ตรวจว่าระบบอนุญาต public shares หรือไม่ มี export-location metadata ใช้งานหรือไม่ และมีหลายโครงการที่ไม่ควรเห็นข้อมูลกันหรือไม่ จากนั้นกำหนดเจ้าของการแก้ไขและช่วงบำรุงรักษา สำรองการตั้งค่าและบันทึกสถานะ share ที่สำคัญก่อนเปลี่ยนระบบ การแก้ไข permission ในคลาวด์หลายผู้เช่าควรทดสอบทั้งกรณีเจ้าของ share และผู้ใช้ต่างโครงการ เพื่อให้แน่ใจว่าอัปเดตไม่ได้ทำให้การเข้าถึงที่ถูกต้องเสียไป

หลังแพตช์ ให้ทดสอบว่าผู้ใช้ที่ไม่ใช่เจ้าของไม่สามารถเปลี่ยน access rules หรือ metadata ของ share ต่างโครงการ และคำขอ export-location metadata ที่อ้าง UUID ต่างโครงการถูกปฏิเสธตามที่คาด หมายเหตุในประกาศระบุว่า Manila Tempest plugin มีการปรับการทดสอบให้คาดผล 404 หลังแก้ไข ซึ่งช่วยเป็นจุดอ้างอิงสำหรับการตรวจสิทธิ์ข้ามโครงการได้ แต่ทีมควรยืนยันผลกับ deployment ของตนเองด้วย

หากพบการเปลี่ยน access rules หรือ export metadata ที่ไม่ตรงกับงานที่ได้รับอนุมัติ ให้เก็บ log และหลักฐานก่อนแก้กลับ พร้อมตรวจว่ามีการเข้าถึงข้อมูลหรือการทำงานของ backend ที่ตามมาอย่างไร ประกาศ OpenStack อธิบายความเป็นไปได้ของผลกระทบ ไม่ได้ยืนยันว่าทุกคลัสเตอร์มีการโจมตีจริง ดังนั้นรายงานภายในควรแยกระหว่างระบบที่มีเวอร์ชันเข้าข่าย ระบบที่มีการตั้งค่าซึ่งเปิดทาง และเหตุการณ์ที่ตรวจพบจริง

ประกาศต้นทาง: OpenStack Security Advisory OSSA-2026-046 วันที่ 20 ตุลาคม 2026 (CVE-2026-71195)