Zaloguj się
Deutsch English Español Polski
Niska

OpenStack Nova can leak consoleauth token into log files

  • Ujawniono: 24.05.2022
  • Aktualizacja: 11.10.2026 13:18

An issue was discovered in OpenStack Nova before 18.2.4, 19.x before 19.1.0, and 20.x before 20.1.0. It can leak consoleauth tokens into log files. An attacker with read access to the service's logs may obtain tokens used for console access. All Nova setups using novncproxy are affected. This is related to NovaProxyRequestHandlerBase.new_websocket_client in console/websocketproxy.py.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) nova < 18.2.4, >= 19.0.0, < 19.1.0, >= 20.0.0, < 20.1.0 18.2.4, 19.1.0, 20.1.0

Odnośniki

Ocena CVSS 3.3/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-200
Platforma
Python (PyPI)
Paczka
nova
Ujawniono
24.05.2022
Aktualizacja
11.10.2026 13:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-857 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-22jm-4hxw-35jf - CC BY 4.0

Historia podatności: nova

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (49) w archiwum
Wszystkich wpisów
49
Pierwsza → ostatnia
08.2012 06.2026
Bez poprawki
5
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 11
  • Średnia 29
  • Niska 8

Ujawnienia w latach

wcześniej: 7

Istotność:
  1. OpenStack Nova calls qemu-img without format restrictions for resize
    Wysoka · 8.2 CVE-2026-24708 >= 32.0.0.0rc1, <= 32.1.0, >= 31.0.0.0rc1, <= 31.2.0, <= 30.2.1 brak poprawki
  2. OpenStack Nova can leak consoleauth token into log files ten wpis
    Niska · 3.3 CVE-2015-9543 < 18.2.4, >= 19.0.0, < 19.1.0, >= 20.0.0, < 20.1.0 18.2.4, 19.1.0, 20.1.0
  3. OpenStack Cinder, Glance, and Nova contain Uncontrolled Resource Consumption
    Wysoka · 7.5 CVE-2015-5162 < 12.0.4 12.0.4
  4. OpenStack Nova logs sensitive context from notification exceptions
    Krytyczna · 9.8 CVE-2017-7214 >= 13.0.0, < 13.1.4, >= 14.0.0, < 14.0.5, >= 15.0.1, < 15.0.2 13.1.4, 14.0.5, 15.0.2
  5. OpenStack Nova Denial of service attack on the compute host
    Wysoka · 7.5 CVE-2017-18191 >= 15.0.0, < 15.1.1, >= 16.0.0, < 16.1.2 15.1.1, 16.1.2
  6. OpenStack Nova DoS by rebuilding the same instance with a new image multiple times
    Wysoka · 8.6 CVE-2017-17051 < 16.0.4 16.0.4
  7. An issue was discovered in Guest.migrate in virt/libvirt/guest.py in OpenStack Nova before 19.3.1, 20.x before 20.3.1, and 21.0.0. By performing a soft reboot of an instance that has previously underg
    Wysoka · 8.3 CVE-2020-17376 < 19.3.1, >= 20.0.0, < 20.3.1, >= 21.0.0, < 21.1.0 19.3.1, 20.3.1, 21.1.0
  8. An issue was discovered in OpenStack Nova before 17.0.12, 18.x before 18.2.2, and 19.x before 19.0.2. If an API request from an authenticated user ends in a fault condition due to an external exceptio
    Wysoka · 6.5 CVE-2019-14433 >= 19.0.0, < 19.0.2, < 17.0.12, >= 18.0.0, < 18.2.2 19.0.2, 17.0.12, 18.2.2
  9. OpenStack Nova VMWare driver leaks rescued images
    Wysoka · 6.5 CVE-2014-2573 < 12.0.0a0 12.0.0a0
  10. OpenStack Nova Live migration can leak root disk into ephemeral storage
    Wysoka · 7.5 CVE-2013-7130 < 12.0.0a0 12.0.0a0
  11. OpenStack Compute Nova Unauthorised access to arbitrary VM using VNC token from deleted VM
    Wysoka · 6.5 CVE-2013-0335 < 12.0.0a0 12.0.0a0
  12. OpenStack Compute (Nova) Denial of service via a large number of calls to the addFixedIp function
    Wysoka · 6.5 CVE-2013-1838 < 12.0.0a0 12.0.0a0
  13. virt/disk/api.py in OpenStack Compute (Nova) 2012.1.x before 2012.1.2 and Folsom before Folsom-3 allows remote authenticated users to overwrite arbitrary files via a symlink attack on a file in an ima
    Wysoka · 6.5 CVE-2012-3447 wszystkie wersje brak poprawki

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.