漏洞信息详情

OpenStack Keystone EC2-Style 认证安全绕过漏洞

• CNNVD编号：CNNVD-201302-452
• 危害等级： 中危
  
• CVE编号： CVE-2013-0282
• 漏洞类型： 授权问题
• 发布时间： 2013-02-26
• 威胁类型： 远程
• 更新时间： 2013-06-07
• 厂        商： openstack
• 漏洞来源：

漏洞简介

OpenStack是美国国家航空航天局（National Aeronautics and Space Administration）和美国Rackspace公司合作研发的一个云平台管理项目。Grizzly是其发布的第7版本代号，它对大规模的生产环境、企业应用场景和更广泛的软件定义网络提供了更好的支持。OpenStack Keystone是其中的一个用于身份验证的项目，提供身份、令牌、目录和策略服务。

OpenStack Keystone Grizzly 2013.1之前版本，Folsom 2012.1.3以及更早的版本，以及Essex中存在漏洞。该漏洞源于程序在使用EC2-style身份验证时没有正确地检验（1）user（2）tenant或（3）domain是否已启用。上下文相关的攻击者可利用该漏洞绕过访问限制。

漏洞公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

https://bugs.launchpad.net/keystone/+bug/1121494

参考网址

来源: review.openstack.org

链接:https://review.openstack.org/#/c/22321/

来源: review.openstack.org

链接:https://review.openstack.org/#/c/22320/

来源: review.openstack.org

链接:https://review.openstack.org/#/c/22319/

来源: launchpad.net

链接:https://launchpad.net/keystone/grizzly/2013.1

来源: launchpad.net

链接:https://launchpad.net/keystone/+milestone/2012.2.4

来源: bugs.launchpad.net

链接:https://bugs.launchpad.net/keystone/+bug/1121494

来源: MLIST

名称: [oss-security] 20130219 [OSSA 2013-005] Keystone EC2-style authentication accepts disabled user/tenants (CVE-2013-0282)

链接:http://www.openwall.com/lists/oss-security/2013/02/19/3

来源:SECUNIA

名称:52186

链接:http://secunia.com/advisories/52186

来源:SECUNIA

名称:52288

链接:http://secunia.com/advisories/52288

受影响实体

• Openstack Essex:-  
• Openstack Folsom:2012.1.3  
• Openstack Folsom:2012.2  
• Openstack Grizzly:2012.2  
• Openstack Keystone:2013.1:Milestone3  

补丁

• keystone-validate-auth-info.grizzly
• keystone-ensure-user-tenant-enabled-ec2.essex
• keystone-ensure-user-tenant-enabled-ec2.folsom