Zaloguj się
Deutsch English Español Polski
Wysoka

OpenStack Keystone allows information disclosure during account locking

  • Ujawniono: 24.05.2022
  • Aktualizacja: 11.10.2026 13:18

OpenStack Keystone 10.x through 16.x before 16.0.2, 17.x before 17.0.1, 18.x before 18.0.1, and 19.x before 19.0.1 allows information disclosure during account locking (related to PCI DSS features). By guessing the name of an account and failing to authenticate multiple times, any unauthenticated actor could both confirm the account exists and obtain that account's corresponding UUID, which might be leveraged for other unrelated attacks. All deployments enabling security_compliance.lockout_failure_attempts are affected.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) keystone >= 10.0, < 16.0.2, >= 17.0, < 17.0.1, >= 18.0, < 18.0.1, >= 19.0, < 19.0.1 16.0.2, 17.0.1, 18.0.1, 19.0.1

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-307
Platforma
Python (PyPI)
Paczka
keystone
Ujawniono
24.05.2022
Aktualizacja
11.10.2026 13:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-830 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-4225-97pr-rr52 - CC BY 4.0

Historia podatności: keystone

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (42) w archiwum
Wszystkich wpisów
42
Pierwsza → ostatnia
09.2012 05.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 18
  • Średnia 21
  • Niska 1
  • Nieoceniona 1

Ujawnienia w latach

wcześniej: 13

Istotność:
  1. OpenStack Keystone has an Incorrect Authorization Issue
    Wysoka · 7.9 CVE-2026-43001 >= 13.0.0, <= 29.0.1 brak poprawki
  2. OpenStack Keystone: LDAP identity backend does not convert enabled attribute to boolean
    Wysoka · 7.7 CVE-2026-40683 < 28.0.1 28.0.1
  3. OpenStack Keystone allows /v3/ec2tokens or /v3/s3tokens request with valid AWS Signature to provide Keystone authorization.
    Wysoka · 7.5 CVE-2025-65073 < 26.0.1, >= 27.0.0.0rc1, < 27.0.0, >= 28.0.0.0rc1, < 28.0.0 26.0.1, 27.0.0, 28.0.0
  4. Openstack Keystone Incorrect Authorization vulnerability
    Krytyczna · 9.1 CVE-2021-3563 <= 21.0.0 brak poprawki
  5. OpenStack Keystone allows information disclosure during account locking ten wpis
    Wysoka · 7.5 CVE-2021-38155 >= 10.0, < 16.0.2, >= 17.0, < 17.0.1, >= 18.0, < 18.0.1, >= 19.0, < 19.0.1 16.0.2, 17.0.1, 18.0.1, 19.0.1
  6. OpenStack Keystone Improper Authentication vulnerability
    Wysoka CVE-2012-4456 >= 2012.1, < 2012.1.2 2012.1.2
  7. An issue was discovered in OpenStack Keystone before 15.0.1, and 16.0.0. Any user authenticated within a limited scope (trust/oauth/application credential) can create an EC2 credential with an escalat
    Wysoka · 8.8 CVE-2020-12689 < 15.0.1 15.0.1
  8. An issue was discovered in OpenStack Keystone before 15.0.1, and 16.0.0. Any authenticated user can create an EC2 credential for themselves for a project that they have a specified role on, and then p
    Wysoka · 8.8 CVE-2020-12691 < 15.0.1 15.0.1
  9. Insufficient Session Expiration in OpenStack Keystone
    Wysoka · 8.8 CVE-2020-12690 < 15.0.1, >= 16.0.0.0rc1, < 16.0.0 15.0.1, 16.0.0
  10. OpenStack Keystone 15.0.0 and 16.0.0 is affected by Data Leakage in the list credentials API. Any user with a role on a project is able to list any credentials with the /v3/credentials API when enforc
    Wysoka · 8.8 CVE-2019-19687 < 16.0.1 16.0.1
  11. An authorization-check flaw was discovered in federation configurations of the OpenStack Identity service (keystone). An authenticated federated user could request permissions to a project and uninten
    Wysoka · 7.2 CVE-2017-2673 >= 9.0.0, < 10.0.2, >= 11.0.0, < 11.0.1 10.0.2, 11.0.1
  12. OpenStack Identity Keystone and keystonemiddleware Insufficiently Protected Credentials
    Wysoka · 7.5 CVE-2015-7546 >= 8.0, < 8.1.0, >= 9.0.0.0b1, < 9.0.0.0b2 8.1.0, 9.0.0.0b2
  13. OpenStack Identity (Keystone) Multiple vulnerabilities in revocation events
    Wysoka · 6.5 CVE-2014-5251 < 8.0.0a0 8.0.0a0
  14. OpenStack Identity (Keystone) UUID v2 tokens does not expire with revocation events
    Wysoka · 6.5 CVE-2014-5252 < 8.0.0a0 8.0.0a0
  15. OpenStack Keystone Domain-scoped tokens don't get revoked
    Wysoka · 6.5 CVE-2014-5253 < 8.0.0a0 8.0.0a0
  16. OpenStack Identity (Keystone) DoS through V3 API authentication chaining
    Wysoka · 7.5 CVE-2014-2828 < 8.0.0a0 8.0.0a0
  17. OpenStack Identity (Keystone) Trustee token revocations does not work with memcache backend
    Wysoka · 6.5 CVE-2014-2237 < 8.0.0a0 8.0.0a0
  18. OpenStack Keystone, as used in OpenStack Folsom 2012.2, does not properly implement token expiration, which allows remote authenticated users to bypass intended authorization restrictions by creating
    Wysoka · 5.9 CVE-2012-5563 wszystkie wersje brak poprawki
  19. OpenStack Keystone Allows Remote User Account Creation
    Wysoka · 7.5 CVE-2012-3542 < 2012.1 2012.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.