远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:0839 公告中提及的漏洞的影响。

    OpenStack Dashboard (horizon) 为管理员和用户提供图形界面，以便访问、配置和自动化云端资源。
    仪表盘让云管理员能够全面了解云的大小和状态，并为最终用户提供了一个自助服务门户，让他们在管理员设定的限制范围内，配置自己的资源。

    在使用 db 或 memcached 会话引擎时，OpenStack Dashboard (horizon) 中发现一个拒绝服务缺陷。攻击者可向登录页面重复发出请求，可造成大量不需要的后端会话条目，进而可能造成拒绝服务。(CVE-2014-8124)

    Red Hat 在此感谢 OpenStack 项目报告此问题。
    上游致谢本问题原始报告者 Time Warner Cable 的 Eric Peterson。

    python-django-horizon 程序包已升级到版本 ，提供了对之前版本 2014.1.4 的多项缺陷补丁，包括：

    * 默认 'target={}' 值泄漏到后续的 'policy.check()' 调用中。
    * Neutron 子网创建工具提示包含无效的 HTML 标签。
    * 管理员仪表板未正确报告内存。
    * 容器仪表盘未正确处理 unicode URL。
    (BZ#1203281)

    此更新还修复以下缺陷：

    * “OPENSTACK_SSL_NO_VERIFY”选项用于启用或禁用 SSL 证书有效性检查。在此更新之前，swift 客户端会忽略此检查。因此，无法将 horizon 与 swift 一起使用，且已通过自签名证书访问 swift。通过此更新，该选项现已得到正确处理，当启用“OPENSTACK_SSL_NO_VERIFY”选项时，Horizon 可以使用此端点。(BZ#1192517)

    * 以前，horizon.log 不会自动截断，从而导致日志文件非常大。通过此更新，文件现在可由 logrotate 修剪，从而修复此问题。(BZ#1112621)

    建议所有 OpenStack Dashboard 用户升级这些更新后的程序包，其中修正了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2015:0845 公告中提及的漏洞的影响。

    OpenStack Dashboard (horizon) 为管理员和用户提供图形界面，以便访问、配置和自动化云端资源。
    仪表盘让云管理员能够全面了解云的大小和状态，并为最终用户提供了一个自助服务门户，让他们在管理员设定的限制范围内，配置自己的资源。

    在使用 db 或 memcached 会话引擎时，OpenStack Dashboard (horizon) 中发现一个拒绝服务缺陷。攻击者可向登录页面重复发出请求，可造成大量不需要的后端会话条目，进而可能造成拒绝服务。(CVE-2014-8124)

    Red Hat 在此感谢 OpenStack 项目报告此问题。
    上游致谢本问题原始报告者 Time Warner Cable 的 Eric Peterson。

    python-django-horizon 程序包已升级到版本，提供了对之前版本 2014.1.4 的多项缺陷补丁，包括：

    * 默认 'target={}' 值泄漏到后续的 'policy.check()' 调用中。
    * Neutron 子网创建工具提示包含无效的 HTML 标签。
    * 管理员仪表板未正确报告内存。
    * 容器仪表盘未正确处理 unicode URL。
    (BZ#1203281)

    此更新还修复以下缺陷：

    * “OPENSTACK_SSL_NO_VERIFY”选项用于启用或禁用 SSL 证书有效性检查。在此更新之前，swift 客户端会忽略此检查。因此，无法将 horizon 与 swift 一起使用，且已通过自签名证书访问 swift。通过此更新，该选项现已得到正确处理，当启用“OPENSTACK_SSL_NO_VERIFY”选项时，Horizon 可以使用此端点。(BZ#1192517)

    * 以前，horizon.log 不会自动截断，从而导致日志文件非常大。通过此更新，文件现在可由 logrotate 修剪，从而修复此问题。(BZ#1112621)

    建议所有 OpenStack Dashboard 用户升级到这些更新后的程序包，其中修正了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

针对 CVE-2014-8124 的补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已更新 OpenStack Dashboard，修复了缺陷和安全问题。

完整变更：

- 更新到版本 horizon-2013.2.5.dev2.g9ee7273：

- 修复了 Horizon 登录页面 DOS 攻击（bnc#908199，CVE-2014-8124）

- 将版本更新到 2013.2.5

- 依据全局要求进行更新

- 将 docutils 固定到 0.9.1

- 在 tox.ini 中将 python 哈希种子设为 0

- 在每个可用性区域中检查主机是否不是“无”

- 修复 unordered_list 过滤器中的 XSS 问题（bnc#891815，CVE-2014-3594）

+ 0001-Use-default_project_id-for-v3-users.patch（手动）

- 在测试中将 UserManager 替换为“无”

- 更新测试要求以修复 sphinx build_doc

- 修复多种跨站脚本 (XSS) 漏洞（bnc#885588，CVE-2014-3473，CVE-2014-3474，CVE-2014-3475）

- 修复导入登录表单的问题

缺陷 869696 - Horizon Dashboard 中的管理员密码注入中断。

- 更新到版本 horizon-2013.2.4.dev8.g07c097f：

- 在 neutron 的 API 中进行缺陷修复，以返回正确的目标 ID

- 修复 Rebuild Instance 中的图像显示

- 从 Neutron 获取实例网络信息

- 将稳定/havana 下一版本升级到 2013.2.4

- 在解除关联操作之后不释放 FIP

- 在 Horizon/Orchestration 2013.2.3 中引入转义（bnc#871855，CVE-2014-0157）

- 更新到版本 horizon-2013.2.3.dev8.g3d04c3c：

- 减少 novaclient 调用的次数

- 升级风格时，不复制 flavorid

- 允许对已暂停和挂起的实例进行快照

- 修复测试，从而与 keystoneclient 0.6.0 一起使用

- 将稳定/havana 下一版本升级到 2013.2.3

+ 将上游 URL 作为来源（启用验证）

+ 导入 Havana 2013.2.2 更新的转换

- 更新到版本 2013.2.2.dev29.g96bd650：

+ 更新 havana 的 Transifex 资源名称

+ 修复负载平衡的 Horizon 中的不当注销

- 更新到版本 2013.2.2.dev25.g6508afd：

+ 禁用 cinder 时，禁用卷创建

+ 检查错误的工作流程步骤：has_required_fields

+ 在检索 LBaaS/VPNaaS 资源时，指定 tenant_id

- 更新到版本 2013.2.2.dev19.g7a8eadc：

+ 为 HealthMonitor 提供适当的显示名称

- 更新到版本 2013.2.2.dev17.gaa55b24：

+ 普通 keystone 版本回退

- 将 settings.py（默认设置）移至 branding-upstream 子程序包：branding 程序包可能要更改某些默认设置。

- 添加 0001-Common-keystone-version-fallback.patch，0001-Use-default_project_id-for-v3-users.patch

- 更新到版本 2013.2.2.dev15.g2b6dfa7：

+ 修复了“创建图像”窗口中帮助文本

+ 更改 scrollShift 的计算方法

+ 统一 keypair 名称处理

- 添加 0001-Give-no-background-color-to-the-pie-charts.patch：
不为饼图添加背景色。

- 更新到版本 2013.2.2.dev9.gc6d38a1：

+ 向 keystone 发送的标记有误

- 更新到版本 2013.2.2.dev7.g2e11482：

+ 将 management_url 添加至测试 mock 客户端

- 添加 0001-Bad-workflow-steps-check-has_required_fields.patch

- 使 python-horizon 要求 python-horizon-branding 的 2013.2 版本（而不是 2013.2.xyz 版本）。从而更容易创建非上游 branding；我们已为其他 branding 子程序包采取这种措施。

- 更新到版本 2013.2.2.dev6.g2c1f1f3：

+ 为 BlockDeviceMappingV2 nova 扩展添加检查

+ 从容处理没有电子邮件属性的用户

+ 从 oslo 导入 install_venv

- 将稳定/havana 下一版本升级到 2013.2.2

- 更新到版本 2013.2.1.dev41.g9668e80：

+ 依据全局要求进行更新

- 将所有内容放在 /srv/www/openstack-dashboard 下

- 更新到版本 2013.2.1.dev40.g852e5c8：

+ 导入 Havana 2013.2.1 更新的翻译

+ 从资源使用情况页面删除统计数据表

+ 允许 spinner 中的“工作”具备可转换性

+ lbaas/horizon - 创建 lb 时添加 tcp 协议选择

+ 修复一个缺陷，LBaaS 中的某些可选字段是必填字段

+ 修复缺陷，从而转义的 html 不在卷分离对话框中显示

+ 角色名不应在域组对话框中进行转换

+ 修复对“更新成员”小部件的不完整转换

+ 修复“已注入的文件路径字节”中可转换的字符串

+ 将额外的扩展文件添加至 makemessage 命令行

+ 将上下文标记添加至 BatchAction 消息

+ 在用户自己更改密码之后，将用户注销

+ 添加 iso8601 模块的登录配置

+ 确保所有计算器均在下拉内容中列出

+ 在显示来自 Nova 的字符串之前，通过对其进行转义修复缺陷（bnc#852175，CVE-2013-6858）

- 添加/使用通用的 openstack-branding 内容

- 更新到版本 2013.2.1.dev9.g842ba5f：

+ 修复安全组模板中 MS SQL 的默认端口

+ 为 instance:<type> 指示器提供缺失的悬停提示

+ 翻译文本：“子网”/“子网详情”

+ 将“租户”改为“项目”

+ 避免放弃计量数据的精确度

- 将 Django 的 signed_cookies 会话后端用作上游，并终止使用 cache_db

- 无需再设置 SECRET_KEY，上游也对此有所了解

python-django_openstack_auth 已更新到 1.1.3：

- 各种 i18n 补丁

- 注销或变更租户时，撤销标记

- 在本地运行测试，从而将测试程序包合并到 main

- 正确构建并安装 HTML 文档

- 添加 pt_BR 区域设置

- 已更新（构建）要求

- 添加 django_openstack_auth-hacking-requires.patch：
hacking dep 无意义

- 包含测试运行程序

- 添加 -test 子程序包

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
233186	RHEL 7：python-django-horizon 和 python-django-openstack-auth 更新（中危） (RHSA-2015:0839)	Nessus	Red Hat Local Security Checks	2025/3/21	2025/3/21	high
210212	RHEL 6：python-django-horizon 和 python-django-openstack-auth 更新（中危） (RHSA-2015:0845)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/3/20	high
80374	Fedora 21：python-django-horizon-2014.1.3-2.fc21 (2014-17177)	Nessus	Fedora Local Security Checks	2015/1/6	2021/1/11	medium
80842	openSUSE 安全更新：openstack-dashboard (openSUSE-SU-2015:0078-1)	Nessus	SuSE Local Security Checks	2015/1/20	2021/1/19	medium

检测

插件搜索

high

high

medium

medium