OSSA-2017-005: Nova 过滤器调度器通过重建操作绕过

日期:

2017年11月14日

CVE:

CVE-2017-16239

影响

• Nova: <=14.0.10, >=15.0.0 <=15.0.8, >=16.0.0 <=16.0.3

描述

servers.com 的 George Shuklin 报告了 Nova 中的一个漏洞。通过重建实例，经过身份验证的用户可能能够绕过过滤器调度器施加的过滤器（例如，ImagePropertiesFilter 或 IsolatedHostsFilter）。所有使用 Nova 过滤器调度器的设置都受到影响。

勘误

之前的修复引入了重建功能的回归。重建可能会失败，具体取决于配置的调度器过滤器和环境，例如，当计算主机已满或主机被禁用时。此更新提供了针对这些回归的额外修复。

补丁

• https://review.openstack.org/519684 (Newton)

• https://review.openstack.org/523434 (errata) (Newton)

• https://review.openstack.org/519681 (Ocata)

• https://review.openstack.org/523427 (errata) (Ocata)

• https://review.openstack.org/519672 (Pike)

• https://review.openstack.org/523212 (errata) (Pike)

• https://review.openstack.org/519662 (Queens)

• https://review.openstack.org/521186 (errata) (Queens)

鸣谢

• Servers.com 的 George Shuklin (CVE-2017-16239)

参考

• https://launchpad.net/bugs/1664931

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-16239

OSSA 历史

• 2017-12-05 - Errata 1

• 2017-11-14 - 原始版本