RHEL 6 : openstack-keystone (RHSA-2012:1557)
critical Nessus プラグイン ID 210170
Language:
概要
リモートの Red Hat ホストに 1 つ以上のセキュリティ更新プログラムがありません。説明
リモート Redhat Enterprise Linux 6 ホストに、RHSA-2012:1557 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。openstack-keystone パッケージは、Keystone、OpenStack Identity サービス API の Python 実装を提供します。これは、ID、トークン、カタログ、ポリシーサービスを提供します。
openstack-keystone パッケージが Upstream バージョン 2012.2.1 にアップグレードされ、以前のバージョンに対する多くのバグ修正と拡張機能が提供されます。(BZ#883829)
この更新では、次のセキュリティ問題も修正されます。
Keystone の欠陥により、ウェブインターフェースとネットワークインターフェースにアクセスできる攻撃者が、期限切れのトークンにリンクされたチェーントークンを継続して使用できるようになりました。これにより、攻撃者は親トークンの期限が切れてもトークンの使用を継続し、OpenStack サービスへの継続的なアクセスを付与される可能性があります。(CVE-2012-5563)
Amazon Elastic Compute Cloud (Amazon EC2) 形式の認証情報 (標準の Amazon EC2 認証情報と同じ形式で発行された認証情報) が使用されている場合、Keystone がテナントから削除されるユーザーを正しく処理しないことが判明しました。ユーザーがテナントから削除された場合、そのテナントから提供された権限を保持し、アクセスできなくなったリソースにアクセスできるようになります。(CVE-2012-5571)
Red Hat は、これらの問題を報告してくれた OpenStack プロジェクトに感謝の意を表します。Upstream では、Anndy 氏を CVE-2012-5563 の最初の報告者として、Vijaya Erukala 氏をCVE-2012-5571 の最初の報告者として認めます。
openstack-keystone の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。更新されたパッケージをインストールすると、Keystone サービス (openstack-keystone) は自動的に再起動されます。
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける openstack-keystone、openstack-keystone-doc、および / または python-keystone パッケージを更新してください。参考資料
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=879402
https://bugzilla.redhat.com/show_bug.cgi?id=880399
https://bugzilla.redhat.com/show_bug.cgi?id=883829
プラグインの詳細
深刻度: Critical
ID: 210170
ファイル名: redhat-RHSA-2012-1557.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
公開日: 2024/11/4
更新日: 2024/11/4
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.7
Vendor
Vendor Severity: Moderate
CVSS v2
リスクファクター: Medium
基本値: 4
現状値: 3
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:N/I:P/A:N
CVSS スコアのソース: CVE-2012-5563
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2012-5571
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:openstack-keystone, cpe:/o:redhat:enterprise_linux:6, p-cpe:/a:redhat:enterprise_linux:openstack-keystone-doc, p-cpe:/a:redhat:enterprise_linux:python-keystone
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2012/12/10
脆弱性公開日: 2012/11/28
参照情報
CVE: CVE-2012-5563, CVE-2012-5571
RHSA: 2012:1557