OpenStack Keystone Essex 授权问题漏洞

漏洞信息详情

OpenStack Keystone Essex 授权问题漏洞

• CNNVD编号：CNNVD-201209-729
• 危害等级： 高危
  
  
• CVE编号：
  CVE-2012-4456
  
• 漏洞类型：
  
  
  授权问题
  
• 发布时间：
  
  2012-09-28
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2012-10-12
  
• 厂        商：
  
  openstack
• 漏洞来源：
  Jason Xu

OpenStack是美国国家航空航天局（National Aeronautics and Space Administration）和美国Rackspace公司合作研发的一个云平台管理项目。Grizzly是其发布的第7版本代号，它对大规模的生产环境、企业应用场景和更广泛的软件定义网络提供了更好的支持。OpenStack Keystone是其中的一个用于身份验证的项目，提供身份、令牌、目录和策略服务。

OpenStack Keystone Essex 2012.1.2之前版本和Folsom folsom-2之前版本中的(1)OS-KSADM/services和(2)tenant APIs中存在漏洞，该漏洞源于没有正确验证X-Auth-Token。远程攻击者可利用该漏洞读取任意用户的角色或获取，创建或删除任意服务。

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

https://bugzilla.redhat.com/show_bug.cgi?id=861179

来源: MLIST

名称: [openstack] 20120928 [OSSA 2012-015] Some actions in Keystone admin API do not validate token (CVE-2012-4456)

链接:https://lists.launchpad.net/openstack/msg17034.html

来源: bugs.launchpad.net

链接:https://bugs.launchpad.net/keystone/+bug/1006822

来源: MLIST

名称: [oss-security] 20120928 [OSSA 2012-015] Some actions in Keystone admin API do not validate token (CVE-2012-4456)

链接:http://www.openwall.com/lists/oss-security/2012/09/28/5

来源: github.com

链接:https://github.com/openstack/keystone/commit/868054992faa45d6f42d822bf1588cb88d7c9ccb

来源: github.com

链接:https://github.com/openstack/keystone/commit/24df3adb3f50cbb5ada411bc67aba8a781e6a431

来源: github.com

链接:https://github.com/openstack/keystone/commit/1d146f5c32e58a73a677d308370f147a3271c2cb

来源: github.com

链接:https://github.com/openstack/keystone/commit/14b136aed9d988f5a8f3e699bd4577c9b874d6c1

来源: bugzilla.redhat.com

链接:https://bugzilla.redhat.com/show_bug.cgi?id=861179

来源: bugs.launchpad.net

链接:https://bugs.launchpad.net/keystone/+bug/1006815

来源: XF

名称: keystone-xauth-sec-bypass(78944)

链接:http://xforce.iss.net/xforce/xfdb/78944

来源: BID

名称: 55716

链接:http://www.securityfocus.com/bid/55716

来源: SECUNIA

名称: 50665

链接:http://secunia.com/advisories/50665

来源：NSFOCUS
名称：20908
链接：http://www.nsfocus.net/vulndb/20908