PT-2020-8565 · Openstack+1 · Openstack-Mistral+1

James Hebden · Publicado 2020-06-15 · Atualizado 2025-04-28 · CVE-2018-16848

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

**Nome do software vulnerável e versões afetadas:

Versões do OpenStack Mistral até a 7.0.3, inclusive

Descrição:

É possível ocorrer uma condição de Negação de Serviço (DoS) devido ao envio de um arquivo YAML de definição de fluxo de trabalho especialmente criado, contendo âncoras aninhadas, o que pode levar ao esgotamento de recursos.

Recomendações:

Para as versões do OpenStack Mistral até e incluindo a 7.0.3, considere restringir o envio de arquivos YAML de definição de fluxo de trabalho ou validar os arquivos para impedir aqueles com âncoras aninhadas até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2018-16848

GHSA-443J-6P7G-6V4W

PYSEC-2020-240

USN-7465-1

Produtos afetados

Openstack-Mistral

Ubuntu

Referências · 19

• https://github.com/openstack/mistral · Nota
• https://github.com/openstack/mistral/commit/eac23d9e774f658f9d4743c99aa2743eb104c3f9 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/mistral/PYSEC-2020-240.yaml · Nota
• https://cve.org/CVERecord?id=CVE-2018-16848 · Nota de Segurança
• https://osv.dev/vulnerability/USN-7465-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-443j-6p7g-6v4w · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-7465-1 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2018-16848 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2018-16848 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2018-16848 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=1645332 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2018-16848 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2018-16849 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2018-16848 · Nota de Segurança
• https://bugs.launchpad.net/mistral/+bug/1785657 · Nota