Vulnerability Bulletins |
Vulnerabilidades en openstack-keystone |
|
Vulnerability classification |
|
| Property | Value |
| Confidence level | official+tested |
| Impact | Obtener acceso |
| Dificulty | Avanzado |
| Required attacker level | Acceso remoto sin cuenta a un servicio estandar |
System information |
|
| Property | Value |
| Affected manufacturer | Comercial Software |
| Affected software |
Red Hat OpenStack Essex Red Hat OpenStack Folsom |
Description |
|
|
Se han encontrado varias vulnerabilidades en los paquetes openstack-keystone. Los paquetes openstack-keystone proporcionan a Keystone una implementación Python de la API del servicio de identidad de OpenStack, que ofrece servicios de Identidad, Token, Catalogo y Políticas. CVE-2013-0282 Se ha descubierto que Keystone fallaba en el momento de validar cuentas de usuario deshabilitadas, o cuentas asociadas con inquilinos o dominios deshabilitados cuando se usaban credenciales del estilo de Amazon EC2. Estos usuarios podían usar éste fallo para acceder a recursos a los que ya no tendrian que poder hacerlo. CVE-2013-1664 Se ha encontrado una vulnerabilidad de denegación de servicio en el parseador de XML usado por Keystone. Si se carga un fichero malicioso, podría causar un consumo excesivo de CPU. CVE-2013-1665 Otra vulnerabilidad encontrada en el parseador de XML se encuentra cuando se carga un archivo XML malicioso para ser procesado. Éste podría causar que Keystone se conecte a entidades externas, causando una gran carga de sistema o permitir a un atacante leer archivos que estén en el sevidor Keystone y que sean accesibles para el usuario que ejecuta los servicios de Keystone. |
|
Solution |
|
| Aplicar las últimas actualizaciones. | |
Standar resources |
|
| Property | Value |
| CVE |
CVE-2013-0282 CVE-2013-1664 CVE-2013-1665 |
| BID | |
Other resources |
|
|
Aviso de seguridad de RedHat http://rhn.redhat.com/errata/RHSA-2013-0596.html |
|
Version history |
||
| Version | Comments | Date |
| 1.0 | Aviso emitido | 2013-03-06 |