FICHE CVE

CVE-2016-4972

Publiée le 2016-09-26 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les déploiements OpenStack Murano utilisant des versions affectées du tableau de bord, du client ou du service core sont vulnérables à l'exécution de code à distance. Un attaquant non authentifié peut prendre le contrôle total du serveur en envoyant un fichier YAML spécialement conçu contenant des balises malveillantes. Cette attaque est simple à exécuter car elle ne nécessite aucun accès préalable ni interaction de la part de l'utilisateur.

CVSS 3.09.8 CRITIQUE

Type de faiblesse

Validation des entrées insuffisante · CWE-20

Publiée2016-09-26

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenStack Murano before 1.0.3 (liberty) and 2.x before 2.0.1 (mitaka), Murano-dashboard before 1.0.3 (liberty) and 2.x before 2.0.1 (mitaka), and python-muranoclient before 0.7.3 (liberty) and 0.8.x before 0.8.5 (mitaka) improperly use loaders inherited from yaml.Loader when parsing MuranoPL and UI files, which allows remote attackers to create arbitrary Python objects and execute arbitrary code via crafted extended YAML tags in UI definitions in packages.