PT-2020-13206 · Openstack+1 · Openstack Keystone+1

Kay · Publicado 2020-05-06 · Atualizado 2023-03-01 · CVE-2020-12689

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do OpenStack Keystone anteriores à 15.0.1

OpenStack Keystone versão 16.0.0

Descrição

Uma falha permite que qualquer usuário autenticado dentro de um escopo limitado crie uma credencial EC2 com permissão elevada, como obter privilégios de administrador enquanto o usuário está em uma função de visualizador limitada. Isso potencialmente permite que um usuário mal-intencionado atue como administrador em um projeto no qual outro usuário possui a função de administrador, o que pode efetivamente conceder a esse usuário privilégios de administrador global.

Recomendações

Para versões do OpenStack Keystone anteriores à 15.0.1, atualize para a versão 15.0.1 ou posterior para resolver o problema.

Para a versão 16.0.0 do OpenStack Keystone, atualize para uma versão posterior à 16.0.0 para resolver o problema.

Correção

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2020-12689

DSA-4679-1

GHSA-CHGW-36XV-47CW

PYSEC-2020-53

RHSA-2020:2732

RHSA-2020:3096

RHSA-2020:3102

RHSA-2020:3105

USN-4480-1

Produtos afetados

Openstack Keystone

Ubuntu

Referências · 25

• https://github.com/openstack/keystone · Nota
• https://github.com/openstack/keystone/commit/37e9907a176dad6843819b1bec4946c3aecc4548 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/keystone/PYSEC-2020-53.yaml · Nota
• https://ubuntu.com/security/CVE-2020-12690 · Aviso do Fabricante
• https://bugs.launchpad.net/keystone/+bug/1872735 · Correção
• https://usn.ubuntu.com/4480-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-12691 · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2020/05/06/5 · Nota
• https://security.openstack.org/ossa/OSSA-2020-004.html · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/05/07/2 · Nota
• https://ubuntu.com/security/CVE-2020-12689 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-12689 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-chgw-36xv-47cw · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2020-53 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-12689 · Aviso do Fabricante