OSSA-2014-018：通过信任链委派进行 Keystone 权限提升¶
- 日期:
2014年6月12日
- CVE:
CVE-2014-3476
影响¶
Keystone：高达 2013.2.3 版本，以及 2014.1 到 2014.1.1 版本
描述¶
Red Hat 的 Steven Hardy 报告了 Keystone 链式委派中的一个漏洞。通过从信任或 OAuth 令牌创建委派，受托人可能会滥用身份模拟，从而绕过 Keystone 强制执行的范围，导致可能获得信任人的任何项目和/或角色的提升权限。所有配置为启用信任的 Keystone 部署都受到影响，自 Grizzly 以来一直是默认设置。
补丁¶
https://review.openstack.org/#/c/99700 (Icehouse)
鸣谢¶
Red Hat 的 Steven Hardy (CVE-2014-3476)
