The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2020:3102 advisory.

    The OpenStack Identity service (keystone) authenticates and authorizes     OpenStack users by keeping track of users and their permitted activities.
    The Identity service supports multiple forms of authentication, including     user name and password credentials, token-based systems, and AWS-style     logins.

    Security Fix(es):

    * EC2 and credential endpoints are not protected from a scoped context     (CVE-2020-12689)

    * OAuth1 request token authorize silently ignores roles parameter     (CVE-2020-12690)

    * Credentials endpoint policy logic allows changing credential owner and     target project ID (CVE-2020-12691)

    * failure to check signature TTL of the EC2 credential auth method     (CVE-2020-12692)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE     page listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 3102アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - openstack-keystone: EC2および認証情報エンドポイントは、スコープ付きコンテキストから保護されません（CVE-2020-12689）

  - openstack-keystone: OAuth1リクエストのトークン許可がメッセージを何も出さずにロールパラメータを無視します（CVE-2020-12690）

  - openstack-keystone: 認証情報エンドポイントポリシーのロジックにより、認証情報の所有者とターゲットプロジェクトIDを変更できます（CVE-2020-12691）

  - openstack-keystone: EC2認証情報を用いた認証方式の署名TTLをチェックする障害（CVE-2020-12692）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 3102 公告中提及的多個弱點影響。

  - openstack-keystone：EC2 和認證端點未受到保護，可能受到範圍內的內容影響 (CVE-2020-12689)

  - openstack-keystone：OAuth1 要求 token 授權以無訊息模式忽略角色參數 (CVE-2020-12690)

  - openstack-keystone：認證端點原則邏輯允許變更認證擁有者和目標專案 ID (CVE-2020-12691)

  - openstack-keystone：無法檢查 EC2 認證驗證方法的簽章 TTL (CVE-2020-12692)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 3102 公告中提及的多个漏洞的影响。

  - openstack-keystone：EC2 和凭据端点不受保护，可能受到范围内环境的影响 (CVE-2020-12689)

  - openstack-keystone：OAuth1 请求令牌授权静默忽略角色参数 (CVE-2020-12690)

  - openstack-keystone：凭据端点策略逻辑允许更改凭据所有者和目标项目 ID (CVE-2020-12691)

  - openstack-keystone：无法检查 EC2 凭据认证方法的签名 TTL (CVE-2020-12692)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Ubuntu 18.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4480-1 advisory.

    It was discovered that OpenStack Keystone incorrectly handled EC2 credentials. An authenticated attacker     with a limited scope could possibly create EC2 credentials with escalated permissions. (CVE-2020-12689,     CVE-2020-12691)

    It was discovered that OpenStack Keystone incorrectly handled the list of roles provided with OAuth1     access tokens. An authenticated user could possibly end up with more role assignments than intended.
    (CVE-2020-12690)

    It was discovered that OpenStack Keystone incorrectly handled EC2 signature TTL checks. A remote attacker     could possibly use this issue to reuse Authorization headers. (CVE-2020-12692)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2020:2732 advisory.

    The OpenStack Identity service (keystone) authenticates and authorizes     OpenStack users by keeping track of users and their permitted activities.
    The Identity service supports multiple forms of authentication, including     user name and password credentials, token-based systems, and AWS-style     logins.

    Security Fix(es):

    * EC2 and credential endpoints are not protected from a scoped context     (CVE-2020-12689)

    * Credentials endpoint policy logic allows changing credential owner and     target project ID (CVE-2020-12691)

    * failure to check signature TTL of the EC2 credential auth method     (CVE-2020-12692)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE     page listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2020:3105 advisory.

    The OpenStack Identity service (keystone) authenticates and authorizes     OpenStack users by keeping track of users and their permitted activities.
    The Identity service supports multiple forms of authentication, including     user name and password credentials, token-based systems, and AWS-style     logins.

    Security Fix(es):

    * EC2 and credential endpoints are not protected from a scoped context     (CVE-2020-12689)

    * OAuth1 request token authorize silently ignores roles parameter     (CVE-2020-12690)

    * Credentials endpoint policy logic allows changing credential owner and     target project ID (CVE-2020-12691)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE     page listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 2732アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - openstack-keystone: EC2および認証情報エンドポイントは、スコープ付きコンテキストから保護されません（CVE-2020-12689）

  - openstack-keystone: 認証情報エンドポイントポリシーのロジックにより、認証情報の所有者とターゲットプロジェクトIDを変更できます（CVE-2020-12691）

  - openstack-keystone: EC2認証情報を用いた認証方式の署名TTLをチェックする障害（CVE-2020-12692）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 3105アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - openstack-keystone: EC2および認証情報エンドポイントは、スコープ付きコンテキストから保護されません（CVE-2020-12689）

  - openstack-keystone: OAuth1リクエストのトークン許可がメッセージを何も出さずにロールパラメータを無視します（CVE-2020-12690）

  - openstack-keystone: 認証情報エンドポイントポリシーのロジックにより、認証情報の所有者とターゲットプロジェクトIDを変更できます（CVE-2020-12691）

  - openstack-keystone: EC2認証情報を用いた認証方式の署名TTLをチェックする障害（CVE-2020-12692）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

OpenStack KeystoneがEC2認証情報を不適切に処理することが判明しました。制限された範囲を持つ認証された攻撃者が、権限を昇格してEC2資格情報を作成する可能性があります。
(CVE-2020-12689、CVE-2020-12691) OpenStack Keystoneが、OAuth1アクセストークンで提供されたロールのリストを不適切に処理することが判明しました。認証されたユーザーが、意図していたよりも多くのロールを割り当てる可能性があります。(CVE-2020-12690) OpenStack KeystoneがEC2署名のTTLチェックを不適切に処理することがわかりました。
リモートの攻撃者がこの問題を悪用して、Authorizationヘッダーを再利用する可能性があります。(CVE-2020-12692)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 2732 公告中提及的多個弱點影響。

  - openstack-keystone：EC2 和認證端點未受到保護，可能受到範圍內的內容影響 (CVE-2020-12689)

  - openstack-keystone：認證端點原則邏輯允許變更認證擁有者和目標專案 ID (CVE-2020-12691)

  - openstack-keystone：無法檢查 EC2 認證驗證方法的簽章 TTL (CVE-2020-12692)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 3105 公告中提及的多個弱點影響。

  - openstack-keystone：EC2 和認證端點未受到保護，可能受到範圍內的內容影響 (CVE-2020-12689)

  - openstack-keystone：OAuth1 要求 token 授權以無訊息模式忽略角色參數 (CVE-2020-12690)

  - openstack-keystone：認證端點原則邏輯允許變更認證擁有者和目標專案 ID (CVE-2020-12691)

  - openstack-keystone：無法檢查 EC2 認證驗證方法的簽章 TTL (CVE-2020-12692)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

據發現，OpenStack Keystone 未正確處理 EC2 憑證。範圍有限的經驗證攻擊者可能會建立具有更高權限的 EC2 憑證。
(CVE-2020-12689、CVE-2020-12691) 據發現，OpenStack Keystone 未正確處理隨 OAuth1 存取權杖提供的角色清單。經驗證的使用者可能最終獲得比預定更多的角色指派。(CVE-2020-12690) 據發現，OpenStack Keystone 未正確處理EC2 簽章 TTL 檢查。
遠端攻擊者可能會利用此問題繞過授權標頭。(CVE-2020-12692)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

发现 OpenStack Keystone 未能正确处理 EC2 凭据。范围有限且经过身份验证的攻击者可能会创建具有升级权限的 EC2 凭据。
（CVE-2020-12689、CVE-2020-12691）经发现，OpenStack Keystone 未正确处理随 OAuth1 访问令牌提供的角色列表。经过认证的用户最终可能会获得比预期多的角色分配。(CVE-2020-12690) 经发现，OpenStack Keystone 未正确处理 EC2 签名 TTL 检查。
远程攻击者可能利用此问题重用授权标头。(CVE-2020-12692)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 2732 公告中提及的漏洞的影响。

  - openstack-keystone：EC2 和凭据端点不受保护，可能受到范围内环境的影响 (CVE-2020-12689)

  - openstack-keystone：凭据端点策略逻辑允许更改凭据所有者和目标项目 ID (CVE-2020-12691)

  - openstack-keystone：无法检查 EC2 凭据认证方法的签名 TTL (CVE-2020-12692)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 3105 公告中提及的多个漏洞的影响。

  - openstack-keystone：EC2 和凭据端点不受保护，可能受到范围内环境的影响 (CVE-2020-12689)

  - openstack-keystone：OAuth1 请求令牌授权静默忽略角色参数 (CVE-2020-12690)

  - openstack-keystone：凭据端点策略逻辑允许更改凭据所有者和目标项目 ID (CVE-2020-12691)

  - openstack-keystone：无法检查 EC2 凭据认证方法的签名 TTL (CVE-2020-12692)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
138850	RHEL 8 : openstack-keystone (RHSA-2020:3102)	Nessus	Red Hat Local Security Checks	2020/7/22	2024/11/7	high
138850	RHEL 8: openstack-keystone（RHSA-2020: 3102)	Nessus	Red Hat Local Security Checks	2020/7/22	2024/11/7	high
138850	RHEL 8：openstack-keystone (RHSA-2020: 3102)	Nessus	Red Hat Local Security Checks	2020/7/22	2024/11/7	high
138850	RHEL 8：openstack-keystone (RHSA-2020: 3102)	Nessus	Red Hat Local Security Checks	2020/7/22	2024/11/7	high
140178	Ubuntu 18.04 LTS : OpenStack Keystone vulnerabilities (USN-4480-1)	Nessus	Ubuntu Local Security Checks	2020/9/2	2024/8/29	high
137759	RHEL 7 : openstack-keystone (RHSA-2020:2732)	Nessus	Red Hat Local Security Checks	2020/6/24	2024/11/7	high
138848	RHEL 8 : openstack-keystone (RHSA-2020:3105)	Nessus	Red Hat Local Security Checks	2020/7/22	2024/11/7	high
137759	RHEL 7: openstack-keystone（RHSA-2020: 2732)	Nessus	Red Hat Local Security Checks	2020/6/24	2024/11/7	high
138848	RHEL 8: openstack-keystone（RHSA-2020: 3105)	Nessus	Red Hat Local Security Checks	2020/7/22	2024/11/7	high
140178	Ubuntu 18.04 LTS : OpenStack Keystone の脆弱性 (USN-4480-1)	Nessus	Ubuntu Local Security Checks	2020/9/2	2024/8/29	high
137759	RHEL 7：openstack-keystone (RHSA-2020: 2732)	Nessus	Red Hat Local Security Checks	2020/6/24	2024/11/7	high
138848	RHEL 8：openstack-keystone (RHSA-2020: 3105)	Nessus	Red Hat Local Security Checks	2020/7/22	2024/11/7	high
140178	Ubuntu 18.04 LTS：OpenStack Keystone 弱點 (USN-4480-1)	Nessus	Ubuntu Local Security Checks	2020/9/2	2024/8/29	high
140178	Ubuntu 18.04 LTS：OpenStack Keystone 漏洞 (USN-4480-1)	Nessus	Ubuntu Local Security Checks	2020/9/2	2024/8/29	high
137759	RHEL 7：openstack-keystone (RHSA-2020: 2732)	Nessus	Red Hat Local Security Checks	2020/6/24	2024/11/7	high
138848	RHEL 8：openstack-keystone (RHSA-2020: 3105)	Nessus	Red Hat Local Security Checks	2020/7/22	2024/11/7	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high