远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2015:0845 公告中提及的漏洞的影响。

    OpenStack Dashboard (horizon) 为管理员和用户提供图形界面，以便访问、配置和自动化云端资源。
    仪表盘让云管理员能够全面了解云的大小和状态，并为最终用户提供了一个自助服务门户，让他们在管理员设定的限制范围内，配置自己的资源。

    在使用 db 或 memcached 会话引擎时，OpenStack Dashboard (horizon) 中发现一个拒绝服务缺陷。攻击者可向登录页面重复发出请求，可造成大量不需要的后端会话条目，进而可能造成拒绝服务。(CVE-2014-8124)

    Red Hat 在此感谢 OpenStack 项目报告此问题。
    上游致谢本问题原始报告者 Time Warner Cable 的 Eric Peterson。

    python-django-horizon 程序包已升级到版本，提供了对之前版本 2014.1.4 的多项缺陷补丁，包括：

    * 默认 'target={}' 值泄漏到后续的 'policy.check()' 调用中。
    * Neutron 子网创建工具提示包含无效的 HTML 标签。
    * 管理员仪表板未正确报告内存。
    * 容器仪表盘未正确处理 unicode URL。
    (BZ#1203281)

    此更新还修复以下缺陷：

    * “OPENSTACK_SSL_NO_VERIFY”选项用于启用或禁用 SSL 证书有效性检查。在此更新之前，swift 客户端会忽略此检查。因此，无法将 horizon 与 swift 一起使用，且已通过自签名证书访问 swift。通过此更新，该选项现已得到正确处理，当启用“OPENSTACK_SSL_NO_VERIFY”选项时，Horizon 可以使用此端点。(BZ#1192517)

    * 以前，horizon.log 不会自动截断，从而导致日志文件非常大。通过此更新，文件现在可由 logrotate 修剪，从而修复此问题。(BZ#1112621)

    建议所有 OpenStack Dashboard 用户升级到这些更新后的程序包，其中修正了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6：python-django-horizon 和 python-django-openstack-auth 更新（中危） (RHSA-2015:0845)

high Nessus 插件 ID 210212

版本 1.1