Julia Kreger

A falha permite que um projeto malicioso atribuído como proprietário de um nó forneça um caminho para qualquer arquivo local legível pelo `ironic-conductor`, que pode então ser gravado no disco do nó de destino durante o manuseio da imagem via API. Isso é particularmente perigoso em ambientes com configurações não padrão e inseguras, como aqueles com a limpeza automatizada desativada.

O problema está relacionado à falta de validação da soma de verificação das URLs de image source fornecidas quando configuradas para converter imagens para um formato raw para streaming. Isso afeta a capacidade de garantir a integridade das imagens que estão sendo usadas.

O problema diz respeito a uma vulnerabilidade no processamento de imagens, na qual uma imagem maliciosamente criada poderia ser usada por um usuário autenticado para explorar comportamentos indesejados no qemu-img, levando potencialmente ao acesso não autorizado a dados confidenciais.