Zaloguj się
Deutsch English Español Polski
Średnia

OpenStack Nova uses insecure keystone middleware tmpdir by default

  • Ujawniono: 17.05.2022
  • Aktualizacja: 11.10.2026 13:18

keystone/middleware/auth_token.py in OpenStack Nova Folsom, Grizzly, and Havana uses an insecure temporary directory for storing signing certificates, which allows local users to spoof servers by pre-creating this directory, which is reused by Nova, as demonstrated using /tmp/keystone-signing-nova on Fedora.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) python-keystoneclient < 0.2.4 0.2.4

Odnośniki

Ocena CVSS 4.3/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N
Słabość (CWE)
CWE-1188
Platforma
Python (PyPI)
Paczka
python-keystoneclient
Ujawniono
17.05.2022
Aktualizacja
11.10.2026 13:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-911 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-pxxv-rv32-2qgv - CC BY 4.0

Historia podatności: python-keystoneclient

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (9) w archiwum
Wszystkich wpisów
9
Pierwsza → ostatnia
10.2013 05.2022
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 3
  • Średnia 2
  • Niska 2

Ujawnienia w latach

wcześniej: 5

Istotność:
  1. OpenStack Nova uses insecure keystone middleware tmpdir by default ten wpis
    Średnia · 4.3 CVE-2013-2030 < 0.2.4 0.2.4
  2. Insufficient Verification of Data Authenticity in python-keystoneclient
    Krytyczna · 9.8 CVE-2013-2167 >= 0.2.3, < 0.3.0 0.3.0
  3. Inadequate Encryption Strength in python-keystoneclient
    Krytyczna · 9.8 CVE-2013-2166 >= 0.2.3, < 0.3.0 0.3.0
  4. The s3_token middleware in OpenStack keystonemiddleware before 1.6.0 and python-keystoneclient before 1.4.0 disables certification verification when the "insecure" option is set in a paste configurati
    Wysoka · 7.5 CVE-2015-1852 < 1.4.0 1.4.0
  5. OpenStack keystonemiddleware (formerly python-keystoneclient) 0.x before 0.11.0 and 1.x before 1.2.0 disables certification verification when the "insecure" option is set in a paste configuration (pas
    Wysoka · 5.9 CVE-2014-7144 < 0.11.0, >= 1.0, < 1.2.0 0.11.0, 1.2.0
  6. python-keystoneclient before 0.2.4, as used in OpenStack Keystone (Folsom), does not properly check expiry for PKI tokens, which allows remote authenticated users to (1) retain use of a token after it
    Wysoka · 7.5 CVE-2013-2104 < 0.2.4 0.2.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.