FreeBSD : py39-cinder -- 安全でない認証情報の欠陥 (f767d615-01db-47e9-b4ab-07bb8d3409fd)

medium Nessus プラグイン ID 174323

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、f767d615-01db-47e9-b4ab-07bb8d3409fd のアドバイザリに記載されている脆弱性の影響を受けます。

- openstack-cinder 14.1.0 より前のすべての openstack-cinder バージョン、openstack-cinder 15.2.0 より前のすべての openstack-cinder 15.x.x バージョン、および openstack-cinder 16.1.0 より前のすべての openstack-cinder 16.x.x バージョンで、安全でない認証情報の欠陥が見つかりました。Dell EMC ScaleIO または VxFlex OS バックエンドストレージドライバーで openstack-cinder を使用する場合、バックエンド全体の認証情報は、その要素を含むすべての Block Storage v3 Attachments API 呼び出しの「connection_info」要素に公開されます。この欠陥により、エンドユーザーがボリュームを作成し、API 呼び出しを行って添付ファイルの詳細情報を表示し、別のユーザーのボリュームに接続するために使用される可能性があるユーザー名とパスワードを取得する可能性があります。さらに、攻撃者が管理 API エンドポイントを発見した場合、これらの認証情報は ScaleIO または VxFlex OS 管理 API に対して有効です。Source: OpenStack プロジェクト (CVE-2020-10755)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

https://osv.dev/vulnerability/PYSEC-2020-228

http://www.nessus.org/u?29d67394

プラグインの詳細

深刻度: Medium

ID: 174323

ファイル名: freebsd_pkg_f767d61501db47e9b4ab07bb8d3409fd.nasl

バージョン: 1.1

タイプ: local

公開日: 2023/4/14

更新日: 2023/11/6

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Low

スコア: 3.6

CVSS v2

リスクファクター: Medium

基本値: 4.3

現状値: 3.2

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N

CVSS スコアのソース: CVE-2020-10755

CVSS v3

リスクファクター: Medium

基本値: 6.5

現状値: 5.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:freebsd:freebsd:py39-cinder, cpe:/o:freebsd:freebsd

必要な KB アイテム: Host/local_checks_enabled, Host/FreeBSD/release, Host/FreeBSD/pkg_info

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2023/4/9

脆弱性公開日: 2020/6/10

参照情報

CVE: CVE-2020-10755