Zaloguj się
Deutsch English Español Polski
Średnia

OpenStack Keystone's federated token rescoping mechanism doesn't propagate the original token's expiry to the newly issued token

  • Ujawniono: 28.05.2026
  • Aktualizacja: 11.10.2026 15:17

An issue was discovered in OpenStack Keystone before 29.0.2. The Keystone federated token rescoping mechanism does not propagate the original token's expiry to the newly issued token. When a federated user rescopes a token via POST /v3/auth/tokens, the handle_scoped_token() function in the mapped authentication plugin returns response data without an expires_at value. The token provider falls back to issuing a token with a fresh default TTL. By rescoping repeatedly before each token expires, a user can maintain access indefinitely, bypassing operator-configured token lifetime policies. This is a variant of CVE-2012-3426. Only deployments using federated identity (SAML2, OpenID Connect) are affected.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) keystone >= 14.0.0, < 27.0.2, >= 28.0.0, < 28.0.2, >= 29.0.0, < 29.0.2 27.0.2, 28.0.2, 29.0.2

Odnośniki

Ocena CVSS 6/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:L
Słabość (CWE)
CWE-863
Platforma
Python (PyPI)
Paczka
keystone
Ujawniono
28.05.2026
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-603 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-whqr-fgm5-x77q - CC BY 4.0

Historia podatności: keystone

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (42) w archiwum
Wszystkich wpisów
42
Pierwsza → ostatnia
09.2012 05.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 18
  • Średnia 21
  • Niska 1
  • Nieoceniona 1

Ujawnienia w latach

wcześniej: 13

Istotność:
  1. OpenStack Keystone's federated token rescoping mechanism doesn't propagate the original token's expiry to the newly issued token ten wpis
    Średnia · 6.0 CVE-2026-44394 >= 14.0.0, < 27.0.2, >= 28.0.0, < 28.0.2, >= 29.0.0, < 29.0.2 27.0.2, 28.0.2, 29.0.2
  2. OpenStack Keystone has an Incorrect Authorization Issue
    Wysoka · 7.9 CVE-2026-43001 >= 13.0.0, <= 29.0.1 brak poprawki
  3. OpenStack Keystone: LDAP identity backend does not convert enabled attribute to boolean
    Wysoka · 7.7 CVE-2026-40683 < 28.0.1 28.0.1
  4. OpenStack Keystone allows /v3/ec2tokens or /v3/s3tokens request with valid AWS Signature to provide Keystone authorization.
    Wysoka · 7.5 CVE-2025-65073 < 26.0.1, >= 27.0.0.0rc1, < 27.0.0, >= 28.0.0.0rc1, < 28.0.0 26.0.1, 27.0.0, 28.0.0
  5. Openstack Keystone Incorrect Authorization vulnerability
    Krytyczna · 9.1 CVE-2021-3563 <= 21.0.0 brak poprawki
  6. OpenStack Keystone allows information disclosure during account locking
    Wysoka · 7.5 CVE-2021-38155 >= 10.0, < 16.0.2, >= 17.0, < 17.0.1, >= 18.0, < 18.0.1, >= 19.0, < 19.0.1 16.0.2, 17.0.1, 18.0.1, 19.0.1
  7. OpenStack Keystone Improper Authentication vulnerability
    Wysoka CVE-2012-4456 >= 2012.1, < 2012.1.2 2012.1.2
  8. An issue was discovered in OpenStack Keystone before 15.0.1, and 16.0.0. Any user authenticated within a limited scope (trust/oauth/application credential) can create an EC2 credential with an escalat
    Wysoka · 8.8 CVE-2020-12689 < 15.0.1 15.0.1
  9. An issue was discovered in OpenStack Keystone before 15.0.1, and 16.0.0. Any authenticated user can create an EC2 credential for themselves for a project that they have a specified role on, and then p
    Wysoka · 8.8 CVE-2020-12691 < 15.0.1 15.0.1
  10. Insufficient Session Expiration in OpenStack Keystone
    Wysoka · 8.8 CVE-2020-12690 < 15.0.1, >= 16.0.0.0rc1, < 16.0.0 15.0.1, 16.0.0
  11. OpenStack Keystone 15.0.0 and 16.0.0 is affected by Data Leakage in the list credentials API. Any user with a role on a project is able to list any credentials with the /v3/credentials API when enforc
    Wysoka · 8.8 CVE-2019-19687 < 16.0.1 16.0.1
  12. An authorization-check flaw was discovered in federation configurations of the OpenStack Identity service (keystone). An authenticated federated user could request permissions to a project and uninten
    Wysoka · 7.2 CVE-2017-2673 >= 9.0.0, < 10.0.2, >= 11.0.0, < 11.0.1 10.0.2, 11.0.1
  13. OpenStack Identity Keystone and keystonemiddleware Insufficiently Protected Credentials
    Wysoka · 7.5 CVE-2015-7546 >= 8.0, < 8.1.0, >= 9.0.0.0b1, < 9.0.0.0b2 8.1.0, 9.0.0.0b2
  14. OpenStack Identity (Keystone) Multiple vulnerabilities in revocation events
    Wysoka · 6.5 CVE-2014-5251 < 8.0.0a0 8.0.0a0
  15. OpenStack Identity (Keystone) UUID v2 tokens does not expire with revocation events
    Wysoka · 6.5 CVE-2014-5252 < 8.0.0a0 8.0.0a0
  16. OpenStack Keystone Domain-scoped tokens don't get revoked
    Wysoka · 6.5 CVE-2014-5253 < 8.0.0a0 8.0.0a0
  17. OpenStack Identity (Keystone) DoS through V3 API authentication chaining
    Wysoka · 7.5 CVE-2014-2828 < 8.0.0a0 8.0.0a0
  18. OpenStack Identity (Keystone) Trustee token revocations does not work with memcache backend
    Wysoka · 6.5 CVE-2014-2237 < 8.0.0a0 8.0.0a0
  19. OpenStack Keystone, as used in OpenStack Folsom 2012.2, does not properly implement token expiration, which allows remote authenticated users to bypass intended authorization restrictions by creating
    Wysoka · 5.9 CVE-2012-5563 wszystkie wersje brak poprawki
  20. OpenStack Keystone Allows Remote User Account Creation
    Wysoka · 7.5 CVE-2012-3542 < 2012.1 2012.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.