OSSA-2013-033：从 Neutron 到 Nova 的元数据查询未按租户限制¶
- 日期:
2013年12月11日
- CVE:
CVE-2013-6419
影响¶
Neutron：所有支持版本
Nova：所有支持版本
描述¶
VMware 的 Aaron Rosen 报告了 OpenStack Neutron 到 Nova 的元数据访问中的一个漏洞。由于端口绑定上缺少授权检查，通过猜测 instance_id，租户可能会检索到其他租户的元数据，导致信息泄露。只有运行 neutron-metadata-agent 的 OpenStack 设置会受到影响。
补丁¶
https://review.openstack.org/#/c/61443 (Grizzly)
https://review.openstack.org/#/c/61437 (Grizzly)
https://review.openstack.org/#/c/61439 (Icehouse)
https://review.openstack.org/#/c/61428 (Icehouse)
鸣谢¶
VMware 的 Aaron Rosen (CVE-2013-6419)
