OSSA-2017-004：联合 Keystone 中不正确的角色分配

日期:

2017年4月25日

CVE:

CVE-2017-2673

影响

• Keystone: >=10.0.0 <=10.0.1, ==11.0.0

描述

Mail.Ru 的 Boris Bobrov 报告了 Keystone Federation 中的一个漏洞。当存在基于组的分配未被使用规则时，经过身份验证的用户可能会收到分配给用户项目的 *所有* 角色，而不管联合映射如何。例如，通过请求管理员用户在其项目获取角色，用户可能会被授予新作用域令牌的管理员权限。所有使用 Keystone Federation 且没有基于组的分配规则的设置都受到影响。

补丁

• https://review.openstack.org/459713 (Newton)

• https://review.openstack.org/459732 (Ocata)

• https://review.openstack.org/459705 (Pike)

鸣谢

• Mail.Ru 的 Boris Bobrov (CVE-2017-2673)

参考

• https://launchpad.net/bugs/1677723

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-2673