远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:0595 公告中提及的多个漏洞的影响。

    PackStack 是一个命令行实用工具，它使用 Puppet 模块来支持通过 SSH 连接在现有服务器上快速部署 OpenStack。
    PackStack 适用于部署单节点概念验证安装和更复杂的多节点安装。

    在 PackStack 中发现一个缺陷。在清单创建过程中，清单文件以可预测的文件名写入到 /tmp/。本地攻击者可利用此缺陷执行符号链接攻击，从而用清单的内容覆盖运行 PackStack 的用户可访问的任意文件，从而可能导致拒绝服务。此外，攻击者可读取且可能修改所生成的清单，进而允许修改使用 OpenStack 部署的系统。
    (CVE-2013-0261)

    已发现在创建 cinder.conf 和所有 api-paste.ini 配置文件时具有全局可读的权限。本地攻击者可利用此缺陷查看管理密码，进而控制由 OpenStack 部署和管理的系统。 (CVE-2013-0266)

     CVE-2013-0261 问题由 Red Hat 安全响应团队的 Kurt Seifried 发现， CVE-2013-0266 由 Red Hat OpenStack 团队的 Derek Higgins 发现。

    此更新还修复了 openstack-packstack 程序包中的多个缺陷。

    建议所有 openstack-packstack 用户升级此更新后的程序包，其中修正了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6：openstack-packstack (RHSA-2013:0595)

medium Nessus 插件 ID 234404

未找到变更日志