リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:0382 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Python-keystoneclient は、OpenStack Identity API と相互作用するための、クライアントライブラリであり、コマンドラインユーティリティです。OpenStack Identity の auth_token ミドルウェアコンポーネントは、keystone を用いてトークンの認証を処理します。

    memcached トークンキャッシュを有効にして auth_token ミドルウェアを使用している場合、別の ID 用のトークンが返される可能性があります。認証されたユーザーがこの欠陥を利用して、管理者の ID を最終的に獲得できるようになるまでリクエストを繰り返すことにより、自分の権限を昇格させる可能性があります。注意：memcached で auth_token を使用する OpenStack Identity のセットアップのみが影響を受けます。 （CVE-2014-0105）

    Red Hat は、この問題を報告してくれた OpenStack プロジェクトに感謝の意を表します。
    Upstream は、メルボルン大学の Kieran Spear 氏を最初の報告者として認めます。

    python-keystoneclient パッケージは、バージョン 0.7.1 にアップグレードされました。
    さらに、python-six パッケージは、更新済みの python-keystoneclient パッケージに必要なバージョン 1.5.2にアップグレードされました。

    python-keystoneclient の全ユーザーは、これらの更新済みパッケージにアップグレードし、この問題を修正することが推奨されます。この更新のインストール後、この更新を有効にするために、auth_token を使用するすべての OpenStack サービスを再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 6：python-keystoneclient（RHSA-2014:0382）

low Nessus プラグイン ID 234405

変更ログが見つかりません