Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-94572, que afecta a OpenStack Octavia antes de la versión 18.0.1. Un usuario autenticado con permisos de proyecto podría inyectar directivas arbitrarias en la configuración de HAProxy mediante el campo tls_ciphers, logrando ejecución de código o compromiso total del balanceador. La puntuación CVSS v4 es 9.4 (Crítico) y solo afecta a despliegues que utilicen el proveedor Amphora.
Resumen ejecutivo
| CVE | CVE-2026-94572 |
|---|---|
| Fabricante | OpenStack |
| Producto | Octavia |
| Fecha de publicación | 2026-09-21 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.4 (CVSS:4.0) |
| Prioridad RyzerBot | 195 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-94572 es una vulnerabilidad de inyección de código (CWE-94) en el componente Amphora provider driver de OpenStack Octavia. El fallo reside en la falta de validación de los caracteres de control en el campo tls_ciphers de los listeners y pools con TLS habilitado.
El valor introducido por el usuario se escribe literalmente en el archivo de configuración de HAProxy generado en la amphora. Esto permite que un usuario autenticado, miembro de un proyecto con un balanceador de carga TLS, inserte un salto de línea (\n) y, a continuación, directivas arbitrarias de configuración de HAProxy.
La inyección de directivas en HAProxy puede derivar en la ejecución de comandos arbitrarios, la modificación de la configuración del balanceador o el compromiso total del nodo amphora. Es importante destacar que solo los despliegues que utilizan el proveedor Amphora se ven afectados; otros proveedores no están expuestos a esta vulnerabilidad.
Productos afectados
Según la información publicada por CVE.org, las siguientes versiones de OpenStack Octavia están afectadas:
- Versiones 6.0.0 hasta 16.1.0 (ambas incluidas).
- Versión 17.0.0 (afectada hasta 17.0.1).
- Versión 18.0.0 (afectada hasta 18.0.1).
La versión corregida es 18.0.1. No se han publicado otras versiones afectadas en las fuentes consultadas.
Impacto
El impacto de esta vulnerabilidad es alto en términos de confidencialidad, integridad y disponibilidad, tanto en el componente comprometido como en el sistema en su conjunto (según el vector CVSS v4). Un atacante que explote esta falla podría:
- Inyectar directivas maliciosas en la configuración de HAProxy.
- Ejecutar comandos arbitrarios en el nodo amphora.
- Comprometer la confidencialidad e integridad del tráfico gestionado por el balanceador.
- Provocar denegación de servicio o interrupción del servicio de balanceo.
El vector CVSS v4 es CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H, lo que indica que el ataque es explotable de forma remota, con baja complejidad y sin necesidad de interacción del usuario.
Explotación
La explotación requiere que el atacante sea un usuario autenticado con permisos de proyecto en OpenStack y que posea un balanceador de carga con TLS habilitado. El atacante debe poder modificar el campo tls_ciphers del listener o pool.
Al insertar un salto de línea en el valor de tls_ciphers, el contenido se escribe directamente en la configuración de HAProxy, permitiendo la inyección de directivas adicionales. No se han publicado exploits públicos ni pruebas de concepto en las fuentes consultadas.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu despliegue es vulnerable, verifica la versión de Octavia instalada y el proveedor utilizado:
- Comprueba la versión de Octavia:
octavia --versiono consulta el paquete instalado. - Si utilizas el proveedor Amphora y tu versión es anterior a 18.0.1, estás afectado.
- Revisa la configuración de tus balanceadores para detectar valores anómalos en
tls_ciphers.
Si no utilizas el proveedor Amphora, tu despliegue no está afectado por esta vulnerabilidad.
Mitigación
La acción recomendada es aplicar la actualización publicada por el fabricante (versión 18.0.1 o posterior). Mientras tanto, se recomienda:
- Restringir los permisos de modificación de listeners y pools TLS a usuarios de confianza.
- Auditar las configuraciones de HAProxy generadas en busca de directivas inyectadas.
- Monitorizar los logs de Octavia y HAProxy para detectar actividades anómalas.
Consulta el aviso oficial de OpenStack (OSSA-2026-039) para obtener más detalles sobre la mitigación publicada.
Checklist de actuación
- Identificar todas las instancias de Octavia que utilicen el proveedor Amphora.
- Verificar la versión instalada y compararla con las versiones afectadas.
- Aplicar la actualización a la versión 18.0.1 o posterior.
- Revisar las configuraciones de HAProxy en busca de directivas inyectadas.
- Rotar credenciales y revisar logs si se detecta actividad sospechosa.
- Documentar el incidente y las acciones tomadas.
Preguntas frecuentes
¿Estoy afectado si no uso Amphora? No. Solo los despliegues que utilizan el proveedor Amphora se ven afectados.
¿La vulnerabilidad es explotable de forma remota? Sí, el vector CVSS v4 indica que el ataque es remoto, con baja complejidad y sin interacción del usuario.
¿Existen exploits públicos? No se han publicado exploits públicos en las fuentes consultadas.
¿Qué versión corrige el fallo? La versión 18.0.1 de Octavia.
Fuentes
- NVD – CVE-2026-94572
- Aviso oficial de OpenStack (OSSA-2026-039)
- Bug de seguimiento en Launchpad
- Bug de seguimiento en Launchpad (2)
- Bug de seguimiento en Debian
- Commit de corrección en OpenDev
- Lista de correo OSS-Security
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-94572 afecta exclusivamente a despliegues de OpenStack Octavia que utilizan el proveedor Amphora. Según los datos publicados por CVE.org, las versiones afectadas son las siguientes:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| OpenStack Octavia | 6.0.0 hasta 16.1.0 (excluida) | 16.1.0 |
| OpenStack Octavia | 17.0.0 | 17.0.1 |
| OpenStack Octavia | 18.0.0 | 18.0.1 |
Es importante señalar que la descripción oficial indica que la vulnerabilidad está presente en versiones anteriores a 18.0.1, pero el desglose de CVE.org confirma que también afecta a las ramas 16.x y 17.x, con sus correspondientes correcciones. Los despliegues que no utilicen el proveedor Amphora no están afectados según las fuentes consultadas.
No se han publicado versiones adicionales afectadas ni información sobre otras ramas de soporte en el contexto analizado.
Impacto y riesgo
La vulnerabilidad presenta una puntuación CVSS de 9.4 (CRITICAL) según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Esta clasificación refleja un impacto severo en la confidencialidad, integridad y disponibilidad, tanto del recurso comprometido como de los sistemas colindantes.
El fallo se origina en el controlador del proveedor Amphora, que no valida el campo tls_ciphers de listeners y pools para detectar caracteres de control. El valor se escribe literalmente en la configuración de HAProxy generada en la amphora. Un miembro de proyecto autenticado que posea un balanceador de carga con TLS habilitado puede insertar un salto de línea y inyectar directivas arbitrarias en la configuración de HAProxy.
Las implicaciones prácticas incluyen:
- Ejecución de código en el contexto del proceso HAProxy, que normalmente se ejecuta con privilegios elevados en la amphora.
- Compromiso total de la amphora, lo que podría permitir el movimiento lateral hacia otros recursos de la infraestructura OpenStack.
- Alteración de la configuración del balanceador, afectando a la disponibilidad e integridad de los servicios expuestos.
- Exfiltración de datos sensibles que atraviesen el balanceador comprometido.
El requisito de autenticación como miembro del proyecto reduce ligeramente la superficie de ataque, pero el impacto potencial es máximo. La clasificación CWE-94 (Control inadecuado de generación de código) confirma la naturaleza de inyección de código del fallo.
Estado de explotación conocida
Las fuentes consultadas en el contexto no publican información explícita sobre explotación activa de esta vulnerabilidad. No se mencionan ataques en curso, exploits públicos o pruebas de concepto disponibles. El campo ransomware indica «No usado como criterio», lo que sugiere que no hay evidencia de uso en campañas de ransomware.
Sin embargo, la criticidad del fallo y la facilidad de explotación (requisitos bajos de privilegios y acceso de red) hacen que sea previsible la aparición de exploits en el corto plazo. Se recomienda encarecidamente aplicar las actualizaciones disponibles sin demora, incluso sin confirmación de explotación activa.
Indicadores de compromiso (IOC)
El campo enrichment.ioc del contexto se encuentra vacío. Las fuentes consultadas (NVD, CVE.org y referencias asociadas) no han publicado indicadores de compromiso estructurados, como direcciones IP maliciosas, hashes de archivos o dominios de comando y control.
No se deben inventar IOC que no aparezcan en las fuentes oficiales. En ausencia de indicadores publicados, la detección de compromisos relacionados con esta vulnerabilidad debe centrarse en:
- Revisión de configuraciones de HAProxy generadas en amphorae en busca de directivas inyectadas.
- Monitorización de cambios inesperados en los campos
tls_ciphersde listeners y pools. - Auditoría de logs de autenticación para identificar accesos sospechosos de miembros de proyecto.
Se recomienda revisar periódicamente las referencias oficiales del aviso OSSA-2026-039 para detectar actualizaciones que puedan incluir IOC en el futuro.
Cómo comprobar si estás afectado
Para determinar si tu despliegue de OpenStack Octavia es vulnerable a CVE-2026-94572, debes verificar dos condiciones principales: la versión del componente y el proveedor de Amphora en uso.
1. Verifica la versión de Octavia
Consulta la versión instalada del paquete octavia en tus nodos de control y en las imágenes de Amphora. Según los datos publicados por CVE.org, las versiones afectadas son:
- 6.0.0 hasta 16.1.0 (excluido el 16.1.0)
- 17.0.0 hasta 17.0.1 (excluido el 17.0.1)
- 18.0.0 hasta 18.0.1 (excluido el 18.0.1)
Si tu versión está dentro de estos rangos, el despliegue es potencialmente vulnerable. La versión corregida se publica en el aviso oficial OSSA-2026-039.
2. Confirma el uso del proveedor Amphora
La vulnerabilidad solo afecta a despliegues que utilizan el proveedor Amphora para el plano de datos de los balanceadores de carga. Si utilizas otro proveedor (por ejemplo, Octavia con controladores de terceros), no estás expuesto a esta inyección de configuración.
Puedes revisar la configuración del servicio Octavia (octavia.conf) para identificar el proveedor activo en la directiva provider de la sección [controller_worker] o mediante la API de Octavia consultando los proveedores disponibles.
3. Revisa los balanceadores de carga TLS
La explotación requiere que un miembro autenticado del proyecto posea un balanceador de carga con TLS habilitado. Si tu despliegue no permite que usuarios de proyectos creen balanceadores con TLS, el riesgo de explotación se reduce, pero no elimina la necesidad de actualizar.
Nota: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. No deben inventarse. La detección de una posible explotación debe basarse en la revisión de la configuración generada de HAProxy en las instancias Amphora.
Mitigación y actualización
La acción recomendada por el aviso oficial es clara: revisar el aviso del fabricante y aplicar la actualización publicada. El commit de corrección está disponible en el repositorio oficial de Octavia:
Commit de corrección en OpenDev
Pasos recomendados
- Actualiza Octavia a la versión corregida indicada en el aviso OSSA-2026-039. No se han publicado versiones corregidas adicionales en las fuentes consultadas más allá de las mencionadas (16.1.0, 17.0.1 y 18.0.1).
- Reconstruye las imágenes de Amphora con la versión actualizada del paquete
octavia. - Reemplaza las instancias Amphora existentes con las nuevas imágenes. La configuración de HAProxy se genera en el momento del aprovisionamiento, por lo que las instancias existentes pueden seguir siendo vulnerables hasta que se regeneren.
- Revisa los balanceadores de carga existentes que tengan TLS habilitado y verifica que la configuración de HAProxy generada no contenga directivas inyectadas.
Mitigación temporal
Si no puedes actualizar de inmediato, considera restringir la capacidad de los usuarios de proyecto para crear o modificar balanceadores de carga con TLS habilitado. Sin embargo, esta medida no es una solución completa y debe considerarse únicamente como un puente hasta la aplicación del parche.
Checklist para administradores
- ☐ Identificar la versión exacta de Octavia en todos los nodos de control y en las imágenes de Amphora.
- ☐ Confirmar si el despliegue utiliza el proveedor Amphora.
- ☐ Comparar la versión instalada con los rangos afectados publicados (6.0.0-16.1.0, 17.0.0-17.0.1, 18.0.0-18.0.1).
- ☐ Revisar el aviso oficial OSSA-2026-039 para conocer la versión corregida y las instrucciones del fabricante.
- ☐ Planificar la actualización de Octavia a la versión corregida.
- ☐ Reconstruir las imágenes de Amphora con el paquete actualizado.
- ☐ Reemplazar las instancias Amphora existentes con las nuevas imágenes.
- ☐ Auditar los balanceadores de carga TLS existentes para detectar configuraciones HAProxy anómalas.
- ☐ Revisar los registros de auditoría de la API de Octavia para detectar modificaciones sospechosas en los campos
tls_ciphers. - ☐ Suscribirse a la lista de seguridad de OpenStack para recibir futuros avisos.
Preguntas frecuentes
¿Qué es CVE-2026-94572?
Es una vulnerabilidad crítica (CVSS 9.4) en OpenStack Octavia que permite a un usuario autenticado con un balanceador de carga TLS inyectar directivas arbitrarias en la configuración de HAProxy mediante el campo tls_ciphers.
¿Qué proveedores de Octavia están afectados?
Solo los despliegues que utilizan el proveedor Amphora. Otros proveedores no generan configuración HAProxy de la misma manera y no están afectados según la descripción publicada.
¿Qué versión corrige la vulnerabilidad?
Las versiones corregidas son 16.1.0, 17.0.1 y 18.0.1 según los rangos publicados por CVE.org. Consulta el aviso OSSA-2026-039 para confirmar la versión exacta recomendada para tu despliegue.
¿Puedo explotar esta vulnerabilidad sin autenticación?
No. La explotación requiere un miembro autenticado del proyecto que posea un balanceador de carga con TLS habilitado. El vector CVSS indica privilegios bajos (PR:L) y no requiere interacción del usuario (UI:N).
¿Cómo puedo detectar si mi despliegue ha sido comprometido?
No se han publicado IOC estructurados en las fuentes consultadas. Se recomienda revisar la configuración de HAProxy generada en las instancias Amphora en busca de directivas inyectadas y auditar los registros de la API de Octavia para detectar modificaciones sospechosas en los campos tls_ciphers.
¿La vulnerabilidad afecta a los balanceadores de carga sin TLS?
Según la descripción publicada, la inyección se produce a través del campo tls_ciphers de listeners y pools con TLS habilitado. Los balanceadores sin TLS no exponen este campo y, por tanto, no son vectores de explotación.