Alerta crítica de seguridad: Se ha publicado la vulnerabilidad CVE-2026-94571, que afecta a OpenStack Octavia antes de la versión 18.0.1. Esta falla, con una puntuación CVSS de 9.4, permite a un miembro autenticado de un proyecto inyectar directivas arbitrarias en la configuración de HAProxy mediante políticas L7 manipuladas. Solo las implementaciones que utilizan el proveedor Amphora están afectadas.
Resumen ejecutivo
La vulnerabilidad CVE-2026-94571 es una falla crítica de inyección de código en OpenStack Octavia, el servicio de balanceo de carga como servicio (LBaaS) de OpenStack. Un atacante autenticado con permisos de miembro de proyecto y propietario de un balanceador de carga puede inyectar directivas arbitrarias en la configuración de HAProxy generada en las instancias Amphora, lo que podría derivar en compromiso total del balanceador y potencialmente del entorno.
| CVE | CVE-2026-94571 |
|---|---|
| Fabricante | OpenStack |
| Producto | Octavia |
| Fecha de publicación | 2026-09-21 |
| Severidad | CRITICAL |
| Puntuación CVSS | 9.4 (CVSS:4.0) |
| Prioridad RyzerBot | 195 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad reside en el controlador del proveedor Amphora de OpenStack Octavia. El problema se origina porque el controlador no rechaza caracteres de control en los campos redirect_url y redirect_prefix de las políticas L7. El validador de URL basado en RFC 3986 codifica en porcentaje los caracteres de control antes de validar, por lo que caracteres como saltos de línea superan las comprobaciones estructurales. Sin embargo, Octavia almacena y escribe el valor sin codificar directamente en la configuración de HAProxy generada en la instancia Amphora.
Esta deficiencia permite que un miembro autenticado de un proyecto que posea un balanceador de carga inyecte directivas arbitrarias de HAProxy a través de una política L7 de tipo REDIRECT_TO_URL. La inyección de directivas en HAProxy puede permitir al atacante modificar el comportamiento del balanceador, redirigir tráfico, exponer información sensible o incluso ejecutar acciones maliciosas dentro del contexto del proceso HAProxy.
La falla está clasificada como CWE-94 (Control inadecuado de generación de código, también conocida como inyección de código). Es importante destacar que solo las implementaciones que utilizan el proveedor Amphora están afectadas; otros proveedores de controladores no se ven comprometidos por esta vulnerabilidad específica.
El aviso oficial de OpenStack se ha publicado como OSSA-2026-039, y el parche correspondiente está disponible en el repositorio oficial de Octavia. Se recomienda encarecidamente a los administradores de entornos OpenStack que utilicen el proveedor Amphora que revisen la documentación oficial y apliquen las actualizaciones necesarias para mitigar esta vulnerabilidad crítica.
Productos y versiones vulnerables
Según la información publicada por CVE.org, el producto afectado es OpenStack Octavia, y la vulnerabilidad está presente en las siguientes versiones:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| OpenStack Octavia | 0.8.0 hasta 16.1.0 (ambas incluidas) | 16.1.0 |
| 17.0.0 | 17.0.1 | |
| 18.0.0 | 18.0.1 |
La descripción de la vulnerabilidad indica que solo las implementaciones que utilizan el proveedor Amphora se ven afectadas. No se han publicado otras versiones afectadas en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad CVE-2026-94571 ha sido clasificada con una puntuación CVSS de 9.4 (CRITICAL) según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Esto implica un impacto alto en la confidencialidad, integridad y disponibilidad, tanto del sistema afectado como de los sistemas adyacentes.
El riesgo principal radica en que un miembro autenticado de un proyecto que posea un balanceador de carga puede inyectar directivas arbitrarias de HAProxy a través de una política L7 REDIRECT_TO_URL. Esto es posible porque el controlador del proveedor Amphora no rechaza caracteres de control en los campos redirect_url y redirect_prefix. Aunque el validador de URL RFC 3986 codifica en porcentaje los caracteres de control antes de validar, permitiendo que los saltos de línea pasen las comprobaciones estructurales, Octavia almacena y escribe el valor sin codificar directamente en la configuración de HAProxy generada en la amphora.
La explotación exitosa podría permitir a un atacante:
- Modificar la configuración de HAProxy para redirigir tráfico a destinos maliciosos.
- Interceptar o manipular el tráfico gestionado por el balanceador de carga.
- Provocar denegaciones de servicio o comprometer la disponibilidad del servicio.
- Potencialmente escalar privilegios dentro del entorno de la amphora.
La vulnerabilidad está clasificada como CWE-94: Improper Control of Generation of Code (‘Code Injection’), lo que confirma la naturaleza de inyección de código en la configuración generada.
Estado de explotación conocida
Las fuentes consultadas (NVD, CVE.org y referencias asociadas) no publican información que confirme explotación activa de esta vulnerabilidad en entornos reales. No se ha incluido ningún dato sobre ataques en curso, malware asociado o uso en campañas. La puntuación de criticidad se basa en el análisis técnico de la vulnerabilidad y su potencial impacto, no en evidencia de explotación.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío. No deben inventarse IOC ni atribuirse a esta vulnerabilidad sin evidencia pública que lo respalde.
Cómo comprobar si estás afectado
Para determinar si tu despliegue de OpenStack Octavia es vulnerable a CVE-2026-94571, debes verificar dos aspectos fundamentales: la versión del componente y el proveedor (driver) utilizado en tus pools de balanceo.
La vulnerabilidad afecta exclusivamente a despliegues que utilizan el proveedor Amphora. Si tu instalación usa otro proveedor, como Octavia sin Amphora (por ejemplo, con controladores de terceros), no estás expuesto a esta inyección específica en la configuración de HAProxy.
Comprueba la versión de Octavia instalada. Las versiones afectadas son anteriores a 18.0.1, incluyendo también las ramas 16.x (anteriores a 16.1.0) y 17.0.x (anteriores a 17.0.1). Si tu versión es igual o superior a 18.0.1, ya has aplicado el parche.
Para verificar tu versión, consulta la salida de los comandos estándar de gestión de paquetes de tu sistema operativo, o la etiqueta de versión en las imágenes de contenedor que utilices. También puedes revisar la versión notificada por la API de Octavia, o la versión reportada por el cliente de línea de comandos openstack loadbalancer --version. Si utilizas un sistema de orquestación como Kolla-Ansible o TripleO, la versión se define en el fichero de release correspondiente.
Además, revisa si tienes políticas L7 de tipo REDIRECT_TO_URL configuradas en tus balanceadores. Esta es la vía de explotación conocida. Si no usas ese tipo de política, el riesgo es menor, aunque la actualización sigue siendo recomendable.
Mitigación y actualización
La medida principal es actualizar a la versión corregida. El aviso oficial de OpenStack (OSSA-2026-039) indica que las ramas afectadas han sido corregidas en las siguientes versiones:
- Rama 16.x: actualiza a 16.1.0 o posterior.
- Rama 17.x: actualiza a 17.0.1 o posterior.
- Rama 18.x: actualiza a 18.0.1 o posterior.
El commit correctivo está disponible en el repositorio oficial de Octavia, y puedes seguir el hilo de seguridad en la lista de distribución de OpenStack.
Si no puedes actualizar de inmediato, aplica las siguientes mitigaciones temporales hasta que completes el parcheo:
- Revisa y restringe las políticas L7 existentes. Audita todas las políticas de tipo
REDIRECT_TO_URLyREDIRECT_TO_PREFIXen tus proyectos. Elimina cualquier política cuya URL de redirección contenga caracteres inusuales (espacios, saltos de línea, caracteres de control). - Controla la creación de nuevas políticas L7. Limita mediante RBAC quién puede crear políticas L7 de redirección en tus proyectos de Octavia. Reduce temporalmente los permisos de los miembros de proyecto para evitar que se creen políticas maliciosas.
- Monitoriza los ficheros de configuración de HAProxy. Ante cualquier sospecha de inyección, revisa los ficheros de configuración generados en tus amphorae para detectar directivas no autorizadas.
Recuerda que estas mitigaciones son temporales y no sustituyen a la actualización del paquete.
Checklist para administradores
- ☐ Identificada la versión de Octavia desplegada (16.x, 17.x, 18.x u otra).
- ☐ Confirmado si el proveedor Amphora está en uso en los pools de balanceo.
- ☐ Actualizado Octavia a 16.1.0, 17.0.1 o 18.0.1 (según la rama).
- ☐ Verificado el commit correctivo
bad7074621562d90a38be4639c1ab3e245f5bf39en el árbol de fuentes. - ☐ Auditadas las políticas L7 existentes de tipo
REDIRECT_TO_URLyREDIRECT_TO_PREFIXen todos los proyectos. - ☐ Eliminadas o saneadas las políticas con caracteres de control o URLs sospechosas.
- ☐ Revisados los ficheros de configuración de HAProxy en las amphorae para detectar directivas inyectadas.
- ☐ Revisados los logs de Octavia y HAProxy en busca de intentos de explotación.
- ☐ Notificada la incidencia al equipo de seguridad interno.
- ☐ Considerada la restricción temporal de permisos para la creación de políticas L7.
Preguntas frecuentes
¿Qué versión mínima de Octavia está exenta de esta vulnerabilidad?
Las versiones corregidas son 16.1.0, 17.0.1 y 18.0.1. Cualquier versión anterior, según tu rama, es vulnerable.
¿Cómo puedo saber si mi despliegue usa el proveedor Amphora?
Consulta la configuración de tus pools de balanceo. Si utilizas el driver por defecto y no has configurado un proveedor alternativo, es muy probable que uses Amphora. También puedes revisar la documentación de tu despliegue o la configuración de Octavia.
¿La vulnerabilidad afecta a los balanceadores que no usan políticas L7?
No. La inyección de directivas se produce a través de las políticas L7 de redirección. Si no tienes políticas de tipo REDIRECT_TO_URL, la explotación no es viable. Sin embargo, la actualización es recomendable para protegerte ante futuros vectores.
¿Qué impacto puede tener si se explota la vulnerabilidad?
Un atacante autenticado que sea miembro de un proyecto y posea un balanceador podría inyectar directivas arbitrarias en HAProxy, lo que podría permitir la ejecución de código, la modificación de la configuración del balanceador o el acceso a información sensible. La severidad se ha clasificado como crítica.
¿Existe algún parche de emergencia disponible?
El aviso oficial de seguridad OSSA-2026-039 incluye el commit correctivo mencionado. Puedes aplicar ese cambio a tu código si compilas desde fuentes. Si usas paquetes, espera las versiones corregidas de tu distribución.
¿El problema afecta a otros proveedores distintos de Amphora?
No. La descripción del aviso indica que solo los despliegues que usan Amphora están afectados.
Fuentes oficiales
Consulta las siguientes referencias para obtener información técnica detallada y seguir la evolución del aviso: