CVE-2014-8124 の修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2015:0839 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    OpenStack ダッシュボード (horizon) は、クラウドベースのリソースにアクセスし、プロビジョニングし、自動化するためのグラフィカルインターフェイスを管理者とユーザーに提供します。
    ダッシュボードを使用すると、クラウド管理者はクラウドの規模と状態の全体像を把握でき、エンドユーザーには管理者が設定した制限内で独自のリソースをプロビジョニングするためのセルフサービスポータルを提供します。

    db または memcached セッションエンジンを使用する際に、OpenStack ダッシュボード (horizon) でサービス拒否の欠陥が見つかりました。攻撃者は、ログインページに対してリクエストを繰り返し行うことができます。これにより、多数の不要なバックエンドセッションエントリが作成され、サービス拒否が発生する可能性があります。(CVE-2014-8124)

    Red Hat は、この問題を報告してくれた OpenStack プロジェクトに感謝の意を表します。
    Upstream は、Time Warner Cable の Eric Peterson 氏を最初の報告者として認めています。

    python-django-horizon パッケージは、上流のバージョン 2014.1.4 にアップグレードされており、以下を含めて、以前のバージョンに対する多数のバグ修正を提供します。

    * デフォルトの「target={}」値が、後続の「policy.check()」呼び出しに漏洩します。
    * Neutron サブネット作成ツールチップに無効な HTML タグがあります。
    * 管理者ダッシュボードで、メモリが不適切に報告されます。
    * コンテナダッシュボードは、unicode URL を正しく処理しません。
    (BZ#1203281)

    この更新では、次のバグも修正しています。

    * オプション「OPENSTACK_SSL_NO_VERIFY」は、SSL 証明書の有効性のチェックを有効または無効にするために使用されます。この更新が出る前は、Swift クライアントはこのチェックを無視していました。その結果、horizon を swift で使用できず、swift は自己署名証明書を介してアクセスされていました。この更新により、このオプションが適切に処理されるようになり、「OPENSTACK_SSL_NO_VERIFY」オプションが有効な場合でも、Horizon はこのエンドポイントを使用できるようになります。(BZ#1192517)

    * 以前は、horizon.log が自動的に切り捨てられず、ログファイルが非常に大きくなりました。この更新では、ファイルが logrotate によってトリミングされるようになり、この問題が修正されます。(BZ#1112621)

    すべての OpenStack Dashboard ユーザーに、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

バグやセキュリティ問題を修正するために、OpenStack Dashboard が更新されました。

完全な変更：

- バージョン horizon-2013.2.5.dev2.g9ee7273 に更新してください：

- Horizon ログインページ DOS 攻撃を修正（bnc#908199、CVE-2014-8124）

- バージョン 2013.2.5 へ更新

- グローバル要件から更新しました

- Pin docutils を 0.9.1 へ

- tox.ini で python ハッシュシードを 0 に設定

- それぞれの可用性ゾーンにチェックホストがない

- unordered_list フィルターによる XSS 問題を修正（bnc#891815、CVE-2014-3594）

+ 0001-Use-default_project_id-for-v3-users.patch（手動）

- UserManager をテストで None に置換

- テスト要件を更新して、sphinx の build_doc を修正

- 複数のクロスサイトスクリプティング（XSS）の脆弱性を修正（bnc#885588、CVE-2014-3473、CVE-2014-3474、CVE-2014-3475）

- ログインフォームのインポートに関する問題を修正

バグ 869696 - Horizon Dashboard が壊れた場合の管理者パスワードの注入。

- バージョン horizon-2013.2.4.dev8.g07c097f に更新してください：

- neutron の API のバグ修正で、正しいターゲット ID を返す

- Rebuild Instance での画像の表示を修正

- Neutron からインスタンスのネットワーキング情報を取得

- stable/havana の次のバージョンである 2013.2.4 へ更新

- 関係切断アクションで FIP をリリースしない

- Horizon/Orchestration 2013.2.3 でエスケープを導入（bnc#871855、CVE-2014-0157）

- バージョン horizon-2013.2.3.dev8.g3d04c3c に更新してください：

- novaclient 呼び出し回数の低減

- flavors 更新時に flavorid をコピーしない

- 一時停止中および中断中のインスタンスのスナップショットを許可する

- テストを修正し、keystoneclient 0.6.0 で動作するようにする

- stable/havana の次のバージョンである 2013.2.3 へ更新

+ 上流の URL をソースとして使用（検証を有効にする）

+ Havana 2013.2.2 更新の翻訳をインポート

- バージョン 2013.2.2.dev29.g96bd650 に更新してください：

+ havana の Transifex リソース名を更新

+ 負荷分散された Horizon での不適切なログアウトを修正

- バージョン 2013.2.2.dev25.g6508afd に更新してください：

+ cinder が無効な場合、ボリューム作成を無効にする

+ 不良なワークフローステップのチェック：has_required_fields

+ LBaaS/VPNaaS リソース取得時に、tenant_id を指定する

- バージョン 2013.2.2.dev19.g7a8eadc に更新してください：

+ HealthMonitor に適切な表示名を与える

- バージョン 2013.2.2.dev17.gaa55b24 に更新してください：

+ 一般的な keystone バージョンのフォールバック

- settings.py（デフォルト設定）をブランディング上流サブパッケージに移動：ブランディングパッケージは、一部のデフォルト設定を変更する必要があるかもしれません。

- 0001-Common-keystone-version-fallback.patch、0001-Use-default_project_id-for-v3-users.patch を追加

- バージョン 2013.2.2.dev15.g2b6dfa7 に更新してください：

+ 「Create An image」ウィンドウのヘルプテキストを修正

+ scrollShift の計算方法を変更

+ keypair 名の処理を統合

- 0001-Give-no-background-color-to-the-pie-charts.patch を追加：
円グラフに背景色を与えない。

- バージョン 2013.2.2.dev9.gc6d38a1 に更新してください：

+ 間違ったマーカーが keystone へ送信されていました

- バージョン 2013.2.2.dev7.g2e11482 に更新してください：

+ management_url を追加して、mock クライアントをテスト

- 0001-Bad-workflow-steps-check-has_required_fields.patch を追加

- python-horizon が 2013.2 バージョンの python-horizon-branding を必要とするようにします（また、2013.2.xyz バージョンではありません）。これにより、非上流ブランディングの作成が簡単になります。他のブランディングサブパッケージでは、既に行っています。

- バージョン 2013.2.2.dev6.g2c1f1f3 に更新してください：

+ BlockDeviceMappingV2 nova 拡張のチェックを追加

+ email 属性がないユーザーを慎重に処理

+ oslo から install_venv をインポート

+ stable/havana の次のバージョンである 2013.2.2 へ更新

- バージョン 2013.2.1.dev41.g9668e80 に更新してください：

+ グローバル要件から更新しました

- すべてを /srv/www/openstack-dashboard に配置

- バージョン 2013.2.1.dev40.g852e5c8 に更新してください：

+ Havana 2013.2.1 更新の翻訳をインポート

+ リソース使用率ページから統計テーブルを削除

+ スピナーの「Working」を変換可能にします

+ lbaas/horizon - lb 作成時に tcp プロトコルの選択を追加

+ LBaaS の一部のオプションのフィールドが必須になっているバグを修正

+ エスケープされた html がボリュームの取り外しダイアログに表示されないバグを修正

+ ドメイングループダイアログで、ロール名を変換するべきではありません

+ 「Update members」ウィジェットの不完全な変換を修正

+ 「Injected File Path Bytes」の変換可能な文字列を修正

+ 追加の拡張ファイルを、makemessage コマンドラインに追加

+ BatchAction メッセージにコンテキストマーカーを追加

+ 自分でパスワードを変更した後、ユーザーをログアウトします

+ iso8601 モジュールのロギング構成を追加

+ すべての計算メーターがドロップダウンに一覧されていることを確認します

+ 表示する前に、Nova からの文字列をエスケープして、バグを修正（bnc#852175、CVE-2013-6858）

- 汎用 openstack-branding プロバイダーを追加/使用

- バージョン 2013.2.1.dev9.g842ba5f に更新してください：

+ セキュリティグループのテンプレートで MS SQL のデフォルトポートを修正

+ 欠けていたインスタンス：<type> メーターのホバーヒントを提供

+ テキスト：「subnet」/「subnet details」を変換

+ 「Tenant」を「Project」へ変更

+ データ測定の精度の放棄を回避

- 上流と同様に Django の signed_cookies セッションのバックエンドを使用し、cache_db の使用率をドロップ

- 上流で学習したように、SECRET_KEY を設定する必要はありません

python-django_openstack_auth が 1.1.3 に更新されました：

- さまざまな i18n の修正

- ログアウトまたはテナントの変更の際に、トークンを取り消します

- テストをローカルで実行するため、テストパッケージをメインとマージします

- HTML ドキュメンテーションを適切に構築し、インストールします

- pt_BR ロケールを追加

- （構築）要件を更新しました

- django_openstack_auth-hacking-requires.patch を追加：
ハッキングの深さは無意味です

- テスト実行者を含めます

- -test サブパッケージを追加

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2015:0845 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    OpenStack ダッシュボード (horizon) は、クラウドベースのリソースにアクセスし、プロビジョニングし、自動化するためのグラフィカルインターフェイスを管理者とユーザーに提供します。
    ダッシュボードを使用すると、クラウド管理者はクラウドの規模と状態の全体像を把握でき、エンドユーザーには管理者が設定した制限内で独自のリソースをプロビジョニングするためのセルフサービスポータルを提供します。

    db または memcached セッションエンジンを使用する際に、OpenStack ダッシュボード (horizon) でサービス拒否の欠陥が見つかりました。攻撃者は、ログインページに対してリクエストを繰り返し行うことができます。これにより、多数の不要なバックエンドセッションエントリが作成され、サービス拒否が発生する可能性があります。(CVE-2014-8124)

    Red Hat は、この問題を報告してくれた OpenStack プロジェクトに感謝の意を表します。
    Upstream は、Time Warner Cable の Eric Peterson 氏を最初の報告者として認めています。

    python-django-horizon パッケージは、上流のバージョン 2014.1.4 にアップグレードされており、以下を含めて、以前のバージョンに対する多数のバグ修正を提供します。

    * デフォルトの「target={}」値が、後続の「policy.check()」呼び出しに漏洩します。
    * Neutron サブネット作成ツールチップに無効な HTML タグがあります。
    * 管理者ダッシュボードで、メモリが不適切に報告されます。
    * コンテナダッシュボードは、unicode URL を正しく処理しません。
    (BZ#1203281)

    この更新では、次のバグも修正しています。

    * オプション「OPENSTACK_SSL_NO_VERIFY」は、SSL 証明書の有効性のチェックを有効または無効にするために使用されます。この更新が出る前は、Swift クライアントはこのチェックを無視していました。その結果、horizon を swift で使用できず、swift は自己署名証明書を介してアクセスされていました。この更新により、このオプションが適切に処理されるようになり、「OPENSTACK_SSL_NO_VERIFY」オプションが有効な場合でも、Horizon はこのエンドポイントを使用できるようになります。(BZ#1192517)

    * 以前は、horizon.log が自動的に切り捨てられず、ログファイルが非常に大きくなりました。この更新では、ファイルが logrotate によってトリミングされるようになり、この問題が修正されます。(BZ#1112621)

    すべての OpenStack Dashboard ユーザーに、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
80374	Fedora 21：python-django-horizon-2014.1.3-2.fc21（2014-17177）	Nessus	Fedora Local Security Checks	2015/1/6	2021/1/11	medium
233186	RHEL 7 : python-django-horizon および python-django-openstack-auth の更新 (重要度中) (RHSA-2015:0839)	Nessus	Red Hat Local Security Checks	2025/3/21	2025/3/21	high
80842	openSUSE セキュリティ更新：openstack-dashboard（openSUSE-SU-2015：0078-1）	Nessus	SuSE Local Security Checks	2015/1/20	2021/1/19	medium
210212	RHEL 6 : python-django-horizon および python-django-openstack-auth の更新 (重要度中) (RHSA-2015:0845)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/3/20	high

検出

プラグインの検索

medium

high

medium

high