OSSA-2013-005: EC2 风格认证接受禁用用户/租户¶
- 日期:
2013年2月19日
- CVE:
CVE-2013-0282
影响¶
Keystone：所有版本
描述¶
Nathanael Burton 报告了 Keystone 中 EC2 风格认证中的一个漏洞。Keystone 在使用 EC2 API 认证用户之前，未能检查用户、租户或域是否已启用。因此，已认证但禁用的用户（或已认证的用户在禁用的租户或域中）可能会保留原本认为已被移除的访问权限。只有启用 EC2 风格认证的设置会受到影响。要规避此问题，请从 keystone.conf 中的 keystone API 管道中移除 EC2 扩展 (keystone.contrib.ec2:Ec2Extension.factory)。
补丁¶
https://review.openstack.org/#/c/22319 (Grizzly)
鸣谢¶
Nathanael Burton 来自国家安全局 (CVE-2013-0282)
