OSSA-2014-016：Heat 模板 URL 信息泄露

日期:

2014年5月23日

CVE:

CVE-2014-3801

影响

• Heat：2013.2 至 2013.2.3，以及 2014.1

描述

Rackspace 的 Jason Dunsmore 报告了 Heat 中的一个漏洞。经过身份验证的用户可以通过列出 heat 资源类型，临时看到其他租户使用的提供者模板的 URL。如果模板本身可以访问，这可能导致额外信息的泄露。所有 Heat 设置都受到影响。

补丁

• https://review.openstack.org/#/c/94644 (Havana)

• https://review.openstack.org/#/c/94625 (Icehouse)

• https://review.openstack.org/#/c/89695 (Juno)

鸣谢

• Rackspace 的 Jason Dunsmore (CVE-2014-3801)

参考

• https://launchpad.net/bugs/1311223

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3801