OSSA-2018-002: GET /v3/OS-FEDERATION/projects 泄露项目信息¶
- 日期:
2018年7月25日
- CVE:
CVE-2018-14432
影响¶
Keystone: <11.0.4, ==12.0.0, ==13.0.0
描述¶
波士顿大学的 Kristi Nikolla 报告了 Keystone 联合身份验证中的一个漏洞。通过执行 GET /v3/OS-FEDERATION/projects，经过身份验证的用户可能会发现他们无权访问的项目，从而泄露部署中的所有项目及其属性。 只有启用了 policy.json 中的 /v3/OS-FEDERATION 端点的 Keystone 会受到影响。
补丁¶
https://review.openstack.org/585788 (Queens)
鸣谢¶
波士顿大学的 Kristi Nikolla (CVE-2018-14432)
