Openstack · Openstack Keystone · CVE-2020-12692
**Nome do software vulnerável e versões afetadas**
Versões do OpenStack Keystone anteriores à 15.0.1
OpenStack Keystone versão 16.0.0
**Descrição**
Foi descoberta uma falha na API EC2 do OpenStack Keystone, na qual falta uma verificação de TTL de assinatura para o AWS Signature V4. Isso permite que um invasor intercepte o cabeçalho de autorização e, em seguida, o utilize para reemitir um token do OpenStack um número ilimitado de vezes.
**Recomendações**
Para versões do OpenStack Keystone anteriores à 15.0.1, atualize para a versão 15.0.1 ou posterior para resolver o problema.
Para a versão 16.0.0 do OpenStack Keystone, considere desativar a API EC2 até que um patch esteja disponível.
Como solução alternativa temporária, restrinja o acesso ao cabeçalho de autorização para minimizar o risco de exploração.