Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-71193 |
| Fabricante | OpenStack |
| Producto | Designate |
| Fecha de publicación | 2026-08-12 |
| Severidad | CRITICAL |
| CVSS | 9.6 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H) |
| Puntuación de prioridad | 202 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-71193 es una vulnerabilidad de autorización incorrecta (CWE-863) en OpenStack Designate, el servicio DNS de OpenStack. Afecta a las comprobaciones de creación de zonas (_is_subzone, _is_superzone y la restricción de duplicados en base de datos), que están limitadas al pool destino. Un usuario autenticado puede eludir estas comprobaciones programando una zona en un pool diferente mediante el planificador AttributeFilter, creando una zona solapada que entra en conflicto con la zona de otro inquilino.
Esta vulnerabilidad permite dos tipos de ataque:
- Secuestro DNS entre inquilinos (cross-tenant DNS hijack): redirigir el tráfico de DNS a direcciones IP controladas por el atacante.
- Denegación de servicio DNS: provocar respuestas NODATA para dominios legítimos.
La explotación requiere un despliegue multi-pool con AttributeFilter habilitado en scheduler_filters, una configuración no predeterminada pero documentada y soportada para la segmentación de autoservicio.
Productos y versiones vulnerables
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| OpenStack Designate | 1.0.0 a 20.0.1 | 20.0.2 |
| OpenStack Designate | 21.0.0 | 21.0.1 |
| OpenStack Designate | 22.0.0 | 22.0.1 |
No se han publicado otras versiones afectadas en las fuentes consultadas.
Impacto y riesgo
El impacto de CVE-2026-71193 es alto en integridad y disponibilidad, con un impacto CVSS de 5.8. La puntuación de explotabilidad es 3.1, lo que indica que es relativamente fácil de explotar para un atacante autenticado con acceso a la red. No se requiere interacción del usuario.
Los riesgos principales son:
- 🔍 Secuestro DNS: un atacante puede redirigir el tráfico DNS de otros inquilinos a servidores maliciosos, permitiendo phishing, robo de credenciales o distribución de malware.
- ⚠️ Denegación de servicio: al crear zonas solapadas, se pueden generar respuestas NODATA para dominios legítimos, interrumpiendo servicios críticos.
- 🛡️ Compromiso de la segmentación multi-inquilino: se rompe el aislamiento entre inquilinos, lo que puede afectar a la confianza en el entorno cloud.
Estado de explotación conocida
No publicado por las fuentes consultadas. La vulnerabilidad ha sido seleccionada por su criticidad y puntuación CVSS, no por evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu despliegue de OpenStack Designate es vulnerable:
- Verifica la versión de Designate instalada. Si es anterior a 20.0.2, 21.0.1 o 22.0.1 (según la rama), estás afectado.
- Comprueba si tu configuración utiliza múltiples pools y tiene habilitado
AttributeFilterenscheduler_filters. Esta configuración es necesaria para la explotación. - Revisa los registros de Designate en busca de creación de zonas sospechosas o conflictos de zona entre inquilinos.
No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
La acción principal es actualizar a las versiones corregidas:
- Actualizar a Designate 20.0.2, 21.0.1 o 22.0.1 según la rama que uses.
- Como mitigación temporal, si no es posible actualizar, se puede deshabilitar el planificador
AttributeFilterenscheduler_filters, aunque esto puede afectar a la funcionalidad de segmentación de autoservicio.
Consulta los avisos oficiales en las referencias para obtener instrucciones detalladas.
Checklist para administradores
- ☐ Identificar la versión de OpenStack Designate en todos los nodos.
- ☐ Verificar si se utiliza configuración multi-pool con AttributeFilter.
- ☐ Programar la actualización a la versión corregida (20.0.2, 21.0.1 o 22.0.1).
- ☐ Revisar los registros de Designate en busca de actividad anómala.
- ☐ Notificar a los inquilinos sobre el riesgo potencial de secuestro DNS.
- ☐ Documentar el plan de respuesta y las acciones realizadas.
Preguntas frecuentes
¿Qué es OpenStack Designate?
Es el servicio de DNS de OpenStack, que proporciona gestión de zonas y registros DNS para entornos cloud multi-inquilino.
¿Qué versión de Designate corrige esta vulnerabilidad?
Las versiones 20.0.2, 21.0.1 y 22.0.1 corrigen CVE-2026-71193.
¿Es necesario tener AttributeFilter habilitado para ser vulnerable?
Sí, la explotación requiere un despliegue multi-pool con AttributeFilter activo en scheduler_filters. Sin embargo, se recomienda actualizar igualmente.
¿Puede un atacante externo explotar esta vulnerabilidad?
No, el atacante necesita estar autenticado en el sistema OpenStack, aunque el vector de ataque es remoto (AV:N).
¿Existe parche de seguridad disponible?
Sí, las versiones corregidas ya están publicadas. Consulta las referencias oficiales para más detalles.
¿Cómo puedo obtener más información?
Revisa las fuentes oficiales listadas a continuación, especialmente el aviso de seguridad de OpenStack (OSSA-2026-034).