PT-2020-13209 · Openstack+1 · Openstack Keystone+1
Kay
·
Publicado
2020-05-06
·
Atualizado
2022-05-24
·
CVE-2020-12692
CVSS v2.0
5.5
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões do OpenStack Keystone anteriores à 15.0.1
OpenStack Keystone versão 16.0.0
Descrição
Foi descoberta uma falha na API EC2 do OpenStack Keystone, na qual falta uma verificação de TTL de assinatura para o AWS Signature V4. Isso permite que um invasor intercepte o cabeçalho de autorização e, em seguida, o utilize para reemitir um token do OpenStack um número ilimitado de vezes.
Recomendações
Para versões do OpenStack Keystone anteriores à 15.0.1, atualize para a versão 15.0.1 ou posterior para resolver o problema.
Para a versão 16.0.0 do OpenStack Keystone, considere desativar a API EC2 até que um patch esteja disponível.
Como solução alternativa temporária, restrinja o acesso ao cabeçalho de autorização para minimizar o risco de exploração.
Correção
Missing Encryption of Sensitive Data
Improper Verification of Cryptographic Signature
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Openstack Keystone
Ubuntu