Boletines de Vulnerabilidades

int(6693)

Boletines de Vulnerabilidades

Vulnerabilidades en openstack-keystone
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	official+tested
Impacto	Obtener acceso
Dificultad	Avanzado
Requerimientos del atacante	Acceso remoto sin cuenta a un servicio estandar
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	Comercial Software
Software afectado	Red Hat OpenStack Essex Red Hat OpenStack Folsom
Descripción
Se han encontrado varias vulnerabilidades en los paquetes openstack-keystone. Los paquetes openstack-keystone proporcionan a Keystone una implementación Python de la API del servicio de identidad de OpenStack, que ofrece servicios de Identidad, Token, Catalogo y Políticas. CVE-2013-0282 Se ha descubierto que Keystone fallaba en el momento de validar cuentas de usuario deshabilitadas, o cuentas asociadas con inquilinos o dominios deshabilitados cuando se usaban credenciales del estilo de Amazon EC2. Estos usuarios podían usar éste fallo para acceder a recursos a los que ya no tendrian que poder hacerlo. CVE-2013-1664 Se ha encontrado una vulnerabilidad de denegación de servicio en el parseador de XML usado por Keystone. Si se carga un fichero malicioso, podría causar un consumo excesivo de CPU. CVE-2013-1665 Otra vulnerabilidad encontrada en el parseador de XML se encuentra cuando se carga un archivo XML malicioso para ser procesado. Éste podría causar que Keystone se conecte a entidades externas, causando una gran carga de sistema o permitir a un atacante leer archivos que estén en el sevidor Keystone y que sean accesibles para el usuario que ejecuta los servicios de Keystone.
Solución
Aplicar las últimas actualizaciones.
Identificadores estándar
Propiedad	Valor
CVE	CVE-2013-0282 CVE-2013-1664 CVE-2013-1665
BID
Recursos adicionales
Aviso de seguridad de RedHat http://rhn.redhat.com/errata/RHSA-2013-0596.html