instack-undercloud vulnerable to symlink attack on tmp files
A flaw was found in instack-undercloud 7.2.0 as packaged in Red Hat OpenStack Platform Pike, 6.1.0 as packaged in Red Hat OpenStack Platform Oacta, 5.3.0 as packaged in Red Hat OpenStack Newton, where pre-install and security policy scripts used insecure temporary files. A local user could exploit this flaw to conduct a symbolic-link attack, allowing them to overwrite the contents of arbitrary files.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | instack | <= 7.2.0, <= 6.1.0, <= 5.3.0 | keine Korrektur |
| Python (PyPI) | instack-undercloud | <= 7.2.0 | keine Korrektur |
Verweise
- https://nvd.nist.gov/vuln/detail/CVE-2017-7549
- https://access.redhat.com/errata/RHSA-2017:2557
- https://access.redhat.com/errata/RHSA-2017:2649
- https://access.redhat.com/errata/RHSA-2017:2687
- https://access.redhat.com/errata/RHSA-2017:2693
- https://access.redhat.com/errata/RHSA-2017:2726
- https://access.redhat.com/security/cve/CVE-2017-7549
- https://bugzilla.redhat.com/show_bug.cgi?id=1477403
- https://github.com/pypa/advisory-database/tree/main/vulns/instack/PYSEC-2017-152.yaml
- https://opendev.org/openstack/instack-undercloud
- https://web.archive.org/web/20170907040549/http://www.securityfocus.com/bid/100407
- http://www.securityfocus.com/bid/100407
- https://pypi.org/project/instack-undercloud
- https://github.com/advisories/GHSA-53wm-97p6-582f
- CVSS-Vektor
CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N- Schwäche (CWE)
CWE-377, CWE-59- Plattform
- Python (PyPI)
- Paket
instack, instack-undercloud- Veröffentlicht
- 21.09.2017
- Aktualisiert
- 11.10.2026 13:17
Quellen und Lizenzen
OSV / GitHub Advisory Database - PYSEC-2017-152 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-53wm-97p6-582f - CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-645 - PyPA Advisory Database; CC BY 4.0
Schwachstellenhistorie: instack-undercloud
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.