PT-2020-7914 · Openstack+3 · Openstack Nova+3

Paul Carlton · Publicado 2020-02-19 · Atualizado 2024-08-02 · CVE-2015-9543

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.3

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do OpenStack Nova anteriores à 18.2.4

Versões do OpenStack Nova 19.x anteriores à 19.1.0

Versões do OpenStack Nova 20.x anteriores à 20.1.0

Descrição:

A falha pode vazar tokens de consoleauth para arquivos de log, permitindo que um invasor com acesso de leitura aos logs do serviço obtenha tokens usados para acesso ao console. Todas as configurações do Nova que utilizam o novncproxy são afetadas. Isso está relacionado à função NovaProxyRequestHandlerBase.new websocket client em console/websocketproxy.py.

Recomendações:

Para versões do OpenStack Nova anteriores à 18.2.4, atualize para a versão 18.2.4 ou posterior.

Para versões do OpenStack Nova 19.x anteriores à 19.1.0, atualize para a versão 19.1.0 ou posterior.

Para versões do OpenStack Nova 20.x anteriores à 20.1.0, atualize para a versão 20.1.0 ou posterior.

Como solução temporária, considere restringir o acesso aos arquivos de log para minimizar o risco de exploração.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

ALT-PU-2024-1074

ALT-PU-2024-9720

CVE-2015-9543

GHSA-22JM-4HXW-35JF

USN-5866-1

Produtos afetados

Alt Linux

Linuxmint

Openstack Nova

Ubuntu

Referências · 21

• https://github.com/openstack/nova/commit/08f1f914cc219cf526adfb08c46b8f40b4e78232 · Nota
• https://github.com/openstack/nova/commit/26d4047e17eba9bc271f8868f1d0ffeec97b555e · Nota
• https://github.com/openstack/nova/commit/d8fbf04f325f593836f8d44b6bbf42b85bde94e3 · Nota
• https://security.openstack.org/ossa/OSSA-2020-001.html · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2015-9543 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-3654 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-17376 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/02/19/2 · Correção
• https://ubuntu.com/security/notices/USN-5866-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-5866-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2015-9543 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-22jm-4hxw-35jf · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-37394 · Aviso do Fabricante
• https://review.opendev.org/220622 · Nota
• https://cve.org/CVERecord?id=CVE-2015-9543 · Nota de Segurança