Mittel

OpenStack Nova uses insecure keystone middleware tmpdir by default

Veröffentlicht: 17.05.2022
Aktualisiert: 11.10.2026 13:18

keystone/middleware/auth_token.py in OpenStack Nova Folsom, Grizzly, and Havana uses an insecure temporary directory for storing signing certificates, which allows local users to spoof servers by pre-creating this directory, which is reused by Nova, as demonstrated using /tmp/keystone-signing-nova on Fedora.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	python-keystoneclient	< 0.2.4	0.2.4

Verweise

CVSS-Wert 4.3/10

CVSS-Vektor: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N
Schwäche (CWE): CWE-1188
Plattform: Python (PyPI)
Paket: python-keystoneclient
Veröffentlicht: 17.05.2022
Aktualisiert: 11.10.2026 13:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2026-911 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-pxxv-rv32-2qgv - CC BY 4.0

Schwachstellenhistorie: python-keystoneclient

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (9) im Archiv

Einträge insgesamt: 9
Erste → letzte: 10.2013 05.2022
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 2
Hoch 3
Mittel 2
Niedrig 2

Veröffentlichungen pro Jahr

2017: 0
2018: 0
2019: 2
2020: 0
2021: 0
2022: 2
2023: 0
2024: 0
2025: 0
2026: 0

früher: 5

17.05.2022

OpenStack Nova uses insecure keystone middleware tmpdir by default dieser Eintrag

Mittel · 4.3 CVE-2013-2030 < 0.2.4 0.2.4
10.12.2019

Insufficient Verification of Data Authenticity in python-keystoneclient

Kritisch · 9.8 CVE-2013-2167 >= 0.2.3, < 0.3.0 0.3.0
10.12.2019

Inadequate Encryption Strength in python-keystoneclient

Kritisch · 9.8 CVE-2013-2166 >= 0.2.3, < 0.3.0 0.3.0
17.04.2015

The s3_token middleware in OpenStack keystonemiddleware before 1.6.0 and python-keystoneclient before 1.4.0 disables certification verification when the "insecure" option is set in a paste configurati

Hoch · 7.5 CVE-2015-1852 < 1.4.0 1.4.0
02.10.2014

OpenStack keystonemiddleware (formerly python-keystoneclient) 0.x before 0.11.0 and 1.x before 1.2.0 disables certification verification when the "insecure" option is set in a paste configuration (pas

Hoch · 5.9 CVE-2014-7144 < 0.11.0, >= 1.0, < 1.2.0 0.11.0, 1.2.0
21.01.2014

python-keystoneclient before 0.2.4, as used in OpenStack Keystone (Folsom), does not properly check expiry for PKI tokens, which allows remote authenticated users to (1) retain use of a token after it

Hoch · 7.5 CVE-2013-2104 < 0.2.4 0.2.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden