updated to stable grizzly 2013.1.5 release

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:0368 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenStack Keystone: EC2 スタイルのトークンによる信頼回避 (CVE-2013-6391)

  - openstack-keystone: trustee トークン失効が memcache バックエンドで機能しません (CVE-2014-2237)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2014:0368 advisory.

    The OpenStack Identity service (keystone) authenticates and authorizes     OpenStack users by keeping track of users and their permitted activities.
    The Identity service supports multiple forms of authentication including     user name and password credentials, token-based systems, and     AWS-style logins.

    It was found that the ec2token API in keystone, which is used to generate     EC2-style (Amazon Elastic Compute Cloud) credentials, could generate a     token not scoped to a particular trust when creating a token from a     received trust-scoped token. A remote attacker could use this flaw to     retrieve a token that elevated their privileges to all of the trustor's     roles. Note that only OpenStack Identity setups that have EC2-style     authentication enabled were affected. (CVE-2013-6391)

    It was found that the the memcache token back end of OpenStack Identity did     not correctly invalidate a revoked trust token, allowing users with revoked     tokens to retain access to services they should no longer be able to     access. Note that only OpenStack Identity setups using the memcache back     end for tokens were affected. (CVE-2014-2237)

    Red Hat would like to thank Jeremy Stanley of the OpenStack Project for     reporting CVE-2013-6391. Upstream acknowledges Steven Hardy of Red Hat as     the original reporter of CVE-2013-6391.

    All openstack-keystone users are advised to upgrade to these updated     packages, which correct these issues.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

更新到稳定的 grizzly 2013.1.5 版本

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

安定版（stable）grizzly 2013.1.5 リリースに更新されました

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2014:0368 公告中提及的多個弱點影響。

  - OpenStack Keystone：透過 EC2 樣式的權杖進行信任規避 (CVE-2013-6391)

  - openstack-keystone：受信任者權杖撤銷不適用於 memcache 後端 (CVE-2014-2237)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

grizzly 2013.1.5 穩定版本的更新

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:0368 公告中提及的多个漏洞影响。

  - OpenStack Keystone：通过 EC2-style 标记避开信任 (CVE-2013-6391)

  - openstack-keystone：受信者标记撤销不与 memcache 后端一起使用 (CVE-2014-2237)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2014:0089 advisory.

    The openstack-keystone packages provide keystone, a Python implementation     of the OpenStack Identity service API, which provides Identity, Token,     Catalog, and Policy services.

    It was found that the ec2token API in keystone, which is used to generate     EC2-style (Amazon Elastic Compute Cloud) credentials, could generate a     token not scoped to a particular trust when creating a token from a     received trust-scoped token. A remote attacker could use this flaw to     retrieve a token that elevated their privileges to all of the trustor's     roles. Note that only OpenStack Identity setups that have EC2-style     authentication enabled were affected. (CVE-2013-6391)

    Red Hat would like to thank Jeremy Stanley of the OpenStack Project for     reporting this issue. Upstream acknowledges Steven Hardy of Red Hat as the     original reporter.

    These updated packages have been upgraded to upstream version 2013.2.1,     which provides a number of bug fixes over the previous version.
    (BZ#1045408)

    All openstack-keystone users are advised to upgrade to these updated     packages, which correct these issues.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Steven Hardy discovered that Keystone did not properly enforce trusts when using the ec2tokens API. An authenticated attacker could exploit this to retrieve a token not scoped to the trust and elevate privileges to the trustor's roles.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Steven Hardy 氏は、Keystone が ec2tokens API を使用する際に適切に信頼を強制していないことを発見しました。認証された攻撃者がこれを悪用して、信頼の適用範囲でないトークンを取得し、信頼者のロールに対する権限を昇格する可能性があります。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:0089 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    openstack-keystone パッケージは、keystone、OpenStack Identity サービス API の Python 実装を提供します。これは、ID、トークン、カタログ、ポリシーサービスを提供します。

    EC2 形式 (Amazon Elastic Compute Cloud) の認証情報を生成するために使用される keystone の ec2token API は、受信した信頼スコープのトークンからトークンを作成する際に、特定の信頼に限定されないトークンを生成する可能性があることが判明しました。リモートの攻撃者がこの欠陥を利用して、権限をすべての信頼者のロールに昇格させるトークンを取得する可能性があります。EC2 形式の認証が有効な OpenStack Identity セットアップのみが影響を受けます。(CVE-2013-6391)

    Red Hat は、この問題を報告してくれた OpenStack プロジェクトの Jeremy Stanley 氏に感謝の意を表します。アップストリームは、Red Hat の Steven Hardy 氏を最初の報告者として認識しています。

    これらの更新済みパッケージは、アップストリームのバージョン 2013.2.1 にアップグレードされています。これは、以前のバージョンに対する多数のバグ修正を提供します。
    (BZ#1045408)

    すべての openstack-keystone ユーザーは、前述の更新済みパッケージにアップグレードし、これらの問題を修正することをお勧めしています。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Steven Hardy 发现 Keystone 在使用 ec2tokens API 时未正确实施信任。经认证的攻击者可利用此漏洞找回并非信任范围的标记并提升信任者角色的权限。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:0089 公告中提及的漏洞的影响。

    openstack-keystone 程序包提供了 keystone，这是 OpenStack Identity 服务 API 的 Python 实现，可提供身份、令牌、目录和策略服务。

    已发现 keystone 中用于生成 EC2-style (Amazon Elastic Compute Cloud) 凭据的 ec2token API 在根据收到的信任范围内的令牌创建令牌时，可生成范围未限定为特定信任的令牌。远程攻击者可利用此缺陷检索可将其提升为所有信任者角色的权限的令牌。请注意，仅启用了 EC2 样式的验证的 OpenStack Identity 设置会受到影响。(CVE-2013-6391)

    Red Hat 在此感谢 OpenStack 项目的 Jeremy Stanley 报告此问题。上游感谢原始报告者 Steven Hardy (Red)。

    这些更新后的程序包已升级到上游版本 2013.2.1，该版本提供了对之前版本的多项缺陷补丁。
    (BZ#1045408)

    建议所有 openstack-keystone 用户升级到这些更新后的程序包，其中修正了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 6 主機已安裝受到一個弱點影響的套件，如 RHSA-2014:0089 公告中所提及。

    openstack-keystone 套件會提供 keystone，這是 OpenStack Identity 服務 API 的 Python 實作，可提供 Identity、Token、Catalog 和 Policy 服務。

    據發現，keystone 中用於產生 EC2 樣式 (Amazon Elastic Compute Cloud) 認證的 ec2token API，在從收到的受信任範圍內的權杖中建立權杖時，可能會產生未局限在特定信任範圍內的權杖。遠端攻擊者可利用此缺陷，擷取將其權限提升至所有信任者角色的權杖。請注意，只有已啟用 EC2 式驗證的 OpenStack Identity 設定會受到影響。(CVE-2013-6391)

    Red Hat 感謝 OpenStack 專案的 Jeremy Stanley 報告此問題。上游確認 Red Hat 的 Steven Hardy 為原始報告者。

    這些更新版套件已升級至 2013.2.1 上游版本，相較於先前的版本，此版本提供數個錯誤修正。
    (BZ#1045408)

    建議所有 openstack-keystone 使用者皆升級到這些更新版套件，其可更正這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Steven Hardy 發現，Keystone 在使用 ec2tokens API 時，並未正確強制執行信任。經驗證的攻擊者可惡意利用此弱點，擷取非涵蓋於信任範圍的 token，並且提升信任方的角色權限。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
73353	Fedora 19 : openstack-keystone-2013.1.5-2.fc19 (2014-4210)	Nessus	Fedora Local Security Checks	2014/4/7	2021/1/11	medium
193836	RHEL 6 : openstack-keystone (RHSA-2014:0368)	Nessus	Red Hat Local Security Checks	2024/4/24	2024/6/3	critical
193836	RHEL 6 : openstack-keystone (RHSA-2014:0368)	Nessus	Red Hat Local Security Checks	2024/4/24	2024/6/3	critical
73353	Fedora 19：openstack-keystone-2013.1.5-2.fc19 (2014-4210)	Nessus	Fedora Local Security Checks	2014/4/7	2021/1/11	medium
73353	Fedora 19：openstack-keystone-2013.1.5-2.fc19（2014-4210）	Nessus	Fedora Local Security Checks	2014/4/7	2021/1/11	medium
193836	RHEL 6：openstack-keystone (RHSA-2014:0368)	Nessus	Red Hat Local Security Checks	2024/4/24	2024/6/3	critical
73353	Fedora 19 : openstack-keystone-2013.1.5-2.fc19 (2014-4210)	Nessus	Fedora Local Security Checks	2014/4/7	2021/1/11	medium
193836	RHEL 6：openstack-keystone (RHSA-2014:0368)	Nessus	Red Hat Local Security Checks	2024/4/24	2024/6/3	critical
210159	RHEL 6 : openstack-keystone (RHSA-2014:0089)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	critical
71564	Ubuntu 13.10 : keystone vulnerability (USN-2061-1)	Nessus	Ubuntu Local Security Checks	2013/12/20	2019/9/19	medium
71564	Ubuntu 13.10：keystone 脆弱性（USN-2061-1）	Nessus	Ubuntu Local Security Checks	2013/12/20	2019/9/19	medium
210159	RHEL 6 : openstack-keystone (RHSA-2014:0089)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	critical
71564	Ubuntu 13.10：keystone 漏洞 (USN-2061-1)	Nessus	Ubuntu Local Security Checks	2013/12/20	2019/9/19	medium
210159	RHEL 6：openstack-keystone (RHSA-2014:0089)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	critical
210159	RHEL 6：openstack-keystone (RHSA-2014:0089)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	critical
71564	Ubuntu 13.10：keystone 弱點 (USN-2061-1)	Nessus	Ubuntu Local Security Checks	2013/12/20	2019/9/19	medium

检测

插件搜索

medium

critical

critical

medium

medium

critical

medium

critical

critical

medium

medium

critical

medium

critical

critical

medium