OSSA-2013-032: 通过EC2风格令牌绕过Keystone信任¶
- 日期:
2013年12月11日
- CVE:
CVE-2013-6391
影响¶
Keystone: Havana 及更高版本
描述¶
Red Hat 的 Steven Hardy 报告了在与 ec2tokens API 结合使用时，Keystone 信任中存在一种漏洞。通过使用信任范围令牌生成 EC2 凭证，受托人可以检索到未限定于信任范围的令牌，从而提升到信任者的所有角色的权限。只有启用 EC2 风格身份验证的 Keystone 设置会受到影响。
补丁¶
https://review.openstack.org/#/c/61419 (Icehouse)
鸣谢¶
Red Hat 的 Steven Hardy (CVE-2013-6391)
