OSSA-2014-040：Horizon 登录页面拒绝服务攻击

日期:

2014年12月09日

CVE:

CVE-2014-8124

影响

• Horizon：最高至 2014.1.3 版本，以及 2014.2 版本最高至 2014.2.1

描述

时代华纳有线公司的 Eric Peterson 报告了 Horizon 中的一个漏洞。通过重复向 Horizon 登录页面发送请求，远程攻击者可能会生成不必要的会话记录，从而可能导致拒绝服务。只有使用 db 或 memcached 会话引擎的 Horizon 设置会受到影响。

补丁

• https://review.openstack.org/140352 (Django_openstack_auth)

• https://review.openstack.org/140356 (Icehouse)

• https://review.openstack.org/140358 (Juno)

• https://review.openstack.org/140353 (Kilo)

鸣谢

• 时代华纳有线公司的 Eric Peterson (CVE-2014-8124)

参考

• https://launchpad.net/bugs/1394370

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-8124

说明

• 此修复将包含在未来的 2014.1.3 和 2014.2.1 版本中。

• Horizon 依赖的 django_openstack_auth 需要上述额外补丁。