Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-97404, que afecta al componente Zaqar de OpenStack. Esta falla, con una puntuación CVSS de 9.2, permite a un atacante remoto no autenticado eludir la autenticación de Keystone y la verificación de URLs firmadas, comprometiendo la confidencialidad, integridad y disponibilidad de los datos del proyecto.
La explotación exitosa podría permitir la lectura, enumeración, creación y eliminación de colas, mensajes, claims y suscripciones, así como operaciones administrativas en despliegues con admin_mode activado. Se recomienda encarecidamente revisar el aviso oficial y aplicar las actualizaciones o mitigaciones proporcionadas por el fabricante de manera inmediata.
Resumen ejecutivo
La vulnerabilidad CVE-2026-97404, clasificada como crítica, afecta al transporte WSGI de OpenStack Zaqar. El fallo reside en un manejo incorrecto de la cabecera URL-Signature, lo que permite a un atacante remoto no autenticado, que conozca el UUID de un proyecto objetivo, eludir tanto la autenticación de Keystone como la verificación de URLs pre-firmadas. Esto resulta en un acceso no autorizado total a los recursos del proyecto, incluyendo la capacidad de leer, enumerar, crear y eliminar colas, mensajes, claims y suscripciones. En despliegues con admin_mode, el atacante podría además realizar operaciones administrativas.
| CVE | CVE-2026-97404 |
|---|---|
| Fabricante | OpenStack |
| Producto | Zaqar |
| Fecha de publicación | 2026-09-24 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.2 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) |
| Prioridad RyzerBot | 195 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
OpenStack Zaqar es un servicio de mensajería y colas multiinquilino que forma parte del ecosistema OpenStack. Proporciona una API RESTful para que las aplicaciones en la nube se comuniquen de manera asíncrona mediante colas y mensajes. Para garantizar la seguridad, Zaqar se integra con Keystone, el servicio de identidad de OpenStack, para autenticar y autorizar las solicitudes de los usuarios.
La vulnerabilidad CVE-2026-97404 se origina en el transporte WSGI de Zaqar, que es el componente responsable de manejar las solicitudes HTTP. Específicamente, el fallo se produce en la gestión de la cabecera URL-Signature. Esta cabecera se utiliza para verificar que una solicitud proviene de una fuente legítima y que la URL no ha sido manipulada, un mecanismo conocido como «URL pre-firmada».
El problema radica en que, al enviar una solicitud con una cabecera URL-Signature vacía, el transporte WSGI no maneja correctamente la validación. Un atacante remoto no autenticado que conozca el UUID de un proyecto objetivo puede explotar esta deficiencia para eludir tanto la autenticación de Keystone como la verificación de la URL pre-firmada. Esto se debe a que el código no distingue adecuadamente entre una cabecera ausente y una cabecera presente pero vacía, lo que lleva a una fallo en la lógica de autenticación y autorización.
La causa raíz se asocia a la CWE-348, «Uso de una fuente menos confiable», lo que indica que el software utiliza una fuente de datos que no es completamente confiable para tomar decisiones de seguridad. En este caso, la cabecera URL-Signature vacía se trata como si fuera válida, lo que permite el acceso no autorizado.
Es importante destacar que solo los despliegues que utilizan el transporte WSGI con una estrategia de autenticación configurada son vulnerables. El transporte WebSocket no se ve afectado por esta vulnerabilidad. La gravedad del fallo se ve incrementada por el hecho de que la explotación no requiere autenticación previa y el impacto en la confidencialidad, integridad y disponibilidad es alto, como refleja la puntuación CVSS de 9.2.
Productos y versiones vulnerables
Según la información publicada por CVE.org, el producto afectado es OpenStack Zaqar, en su transporte WSGI. Las versiones vulnerables se detallan a continuación:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| OpenStack Zaqar | 1.0.0 hasta 20.1.1 (ambas inclusive) | 20.1.2 |
| OpenStack Zaqar | 21.0.0 hasta 21.0.1 (ambas inclusive) | 21.0.2 |
| OpenStack Zaqar | 22.0.0 hasta 22.0.1 (ambas inclusive) | 22.0.2 |
La vulnerabilidad afecta exclusivamente a despliegues que utilicen el transporte WSGI con una estrategia de autenticación configurada. El transporte websocket no se ve afectado. No se han publicado versiones afectadas adicionales en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad CVE-2026-97404 presenta una puntuación CVSS v4.0 de 9.2 (CRITICAL), con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Esto indica un riesgo elevado con los siguientes factores:
- Vector de ataque: Red (AV:N), explotable de forma remota.
- Complejidad de ataque: Baja (AC:L), no requiere condiciones especiales.
- Privilegios requeridos: Ninguno (PR:N).
- Interacción del usuario: Ninguna (UI:N).
- Impacto en confidencialidad, integridad y disponibilidad: Alto (VC:H, VI:H, VA:H).
Un atacante remoto no autenticado que conozca el UUID de un proyecto objetivo puede eludir tanto la autenticación de Keystone como la verificación de URL prefirmadas. Esto le permitiría realizar operaciones de lectura, enumeración, creación y eliminación sobre colas, mensajes, claims y suscripciones del proyecto afectado. Adicionalmente, si el atacante puede reclamar un rol administrativo, podría ejecutar operaciones administrativas como la gestión de pools y flavors en despliegues con admin_mode activado.
La criticidad se ve acentuada por la ausencia de requisitos de autenticación y la posibilidad de comprometer la disponibilidad del servicio de mensajería, un componente esencial en infraestructuras OpenStack.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa o prueba de concepto pública para esta vulnerabilidad. El campo de explotabilidad en el vector CVSS figura como E:X (no definido). No se debe asumir explotación en entornos reales sin evidencia adicional que lo confirme.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc se encuentra vacío. No deben inventarse IOC sin respaldo de fuentes fiables. Se recomienda monitorizar los registros de acceso al transporte WSGI de Zaqar para detectar peticiones anómalas con cabeceras URL-Signature vacías o inusuales, así como intentos de acceso a proyectos sin autenticación válida.
Cómo comprobar si estás afectado
Para determinar si tu despliegue de OpenStack Zaqar es vulnerable a CVE-2026-97404, debes verificar tres condiciones acumulativas. La vulnerabilidad solo afecta a despliegues que utilizan el transporte WSGI con una estrategia de autenticación configurada. El transporte WebSocket no está afectado.
Primero, confirma la versión de Zaqar instalada. Según la información publicada por CVE.org, las versiones afectadas son:
| Rama | Versiones afectadas |
|---|---|
| 20.x | Anteriores a 20.1.2 |
| 21.x | Anteriores a 21.0.2 |
| 22.x | Anteriores a 22.0.2 |
Si tu versión es anterior a las indicadas, continúa con la verificación del transporte. Revisa la configuración de tu despliegue para confirmar si el servicio Zaqar está expuesto mediante WSGI. Esta información suele encontrarse en los archivos de configuración del servicio o en la documentación interna de tu infraestructura.
Finalmente, verifica si has configurado una estrategia de autenticación. La vulnerabilidad permite omitir tanto la autenticación de Keystone como la verificación de URLs pre-firmadas, pero solo en despliegues donde la autenticación está activa. Si tu despliegue no tiene autenticación configurada, no estás afectado por este vector concreto.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Si sospechas que tu despliegue ha sido comprometido, revisa los registros de acceso al servicio Zaqar en busca de peticiones con cabeceras URL-Signature vacías o inusuales, especialmente aquellas dirigidas a colas o mensajes de proyectos específicos.
Mitigación y actualización
La acción principal recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Según la información disponible, la vulnerabilidad está corregida en las versiones 20.1.2, 21.0.2 y 22.0.2 de Zaqar. Debes actualizar a la versión correspondiente a tu rama de despliegue lo antes posible.
Mientras tanto, si no puedes actualizar de inmediato, considera las siguientes medidas temporales:
- Restringe el acceso a la red al transporte WSGI de Zaqar mediante reglas de firewall o grupos de seguridad, limitando el origen de las conexiones a direcciones IP confiables.
- Monitoriza activamente los registros de acceso en busca de patrones anómalos, como peticiones con cabeceras
URL-Signaturevacías o intentos de acceso a colas de proyectos que no correspondan al usuario autenticado. - Si tu despliegue lo permite, evalúa la posibilidad de deshabilitar temporalmente el transporte WSGI y utilizar únicamente el transporte WebSocket, que no está afectado por esta vulnerabilidad.
No se han publicado parches adicionales ni versiones corregidas más allá de las indicadas en las fuentes consultadas. Tampoco se ha publicado información sobre exploits activos, pero la criticidad de la vulnerabilidad (CVSS 9.2) y la facilidad de explotación remota sin autenticación hacen que la actualización sea urgente.
Checklist para administradores
Utiliza esta lista para verificar tu postura frente a CVE-2026-97404:
- ☐ He identificado la versión exacta de Zaqar instalada en mi despliegue.
- ☐ He confirmado si mi despliegue utiliza el transporte WSGI.
- ☐ He verificado si tengo una estrategia de autenticación configurada en el transporte WSGI.
- ☐ He comparado mi versión con las ramas afectadas (anteriores a 20.1.2, 21.0.2 o 22.0.2).
- ☐ He revisado el aviso oficial del fabricante en Launchpad (bug 2164987).
- ☐ He planificado la actualización a la versión corregida correspondiente a mi rama.
- ☐ He restringido el acceso de red al transporte WSGI como medida temporal si no puedo actualizar.
- ☐ He configurado monitorización de registros para detectar peticiones con cabeceras
URL-Signaturevacías. - ☐ He informado a mi equipo de operaciones sobre la criticidad y el plazo de actualización.
Preguntas frecuentes
¿Qué versión de Zaqar corrige esta vulnerabilidad?
Según la información publicada por CVE.org, las versiones corregidas son 20.1.2, 21.0.2 y 22.0.2. Debes actualizar a la versión correspondiente a tu rama de despliegue.
¿El transporte WebSocket está afectado?
No. La descripción de la vulnerabilidad indica explícitamente que solo los despliegues que utilizan el transporte WSGI con una estrategia de autenticación configurada están afectados. El transporte WebSocket no está afectado.
¿Qué puede hacer un atacante si explota esta vulnerabilidad?
Un atacante remoto no autenticado que conozca el UUID de un proyecto puede omitir la autenticación de Keystone y la verificación de URLs pre-firmadas. Esto le permite leer, enumerar, crear y eliminar colas, mensajes, claims y suscripciones de ese proyecto. Si además consigue un rol administrativo, podría realizar operaciones administrativas como gestionar pools y flavors en despliegues con admin_mode activado.
¿Cómo puedo saber si mi despliegue ha sido comprometido?
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Revisa los registros de acceso al servicio Zaqar en busca de peticiones con cabeceras URL-Signature vacías o intentos de acceso a colas de proyectos que no correspondan al usuario autenticado.
¿Qué es CWE-348?
CWE-348 corresponde a «Use of Less Trusted Source». Esta debilidad indica que el software utiliza una fuente de información que no es suficientemente confiable para tomar decisiones de seguridad. En este caso, el transporte WSGI de Zaqar no maneja correctamente la cabecera URL-Signature, lo que permite omitir la verificación de autenticación.
¿Debo deshabilitar el transporte WSGI si no puedo actualizar?
Si tu despliegue lo permite, deshabilitar temporalmente el transporte WSGI y utilizar únicamente WebSocket elimina la exposición a esta vulnerabilidad. Sin embargo, esta medida puede afectar a la funcionalidad de tu despliegue. Evalúa el impacto antes de aplicarla y prioriza la actualización a una versión corregida.
Fuentes oficiales
Mantente atento a las actualizaciones del fabricante y aplica los parches tan pronto como estén disponibles en tu canal de distribución habitual.