OSSA-2020-001: Nova 可能将 consoleauth token 泄露到日志文件中

日期:

2020年2月19日

CVE:

CVE-2015-9543

影响

• Nova: <18.2.4,>=19.0.0<19.1.0,>=20.0.0<20.1.0

描述

HP 的 Paul Carlton 报告了 Nova 中的一个漏洞。具有服务日志读取权限的攻击者可能获取用于控制台访问的 token。所有使用 novncproxy 的 Nova 设置都受到影响。

补丁

• https://review.opendev.org/707845 (Queens)

• https://review.opendev.org/704255 (Rocky)

• https://review.opendev.org/702181 (Stein)

• https://review.opendev.org/696685 (Train)

• https://review.opendev.org/220622 (Ussuri)

鸣谢

• HP 的 Paul Carlton (CVE-2015-9543)

参考

• https://launchpad.net/bugs/1492140

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-9543

说明

• stable/queens 分支处于扩展维护阶段，将不会收到新的点版本更新，但提供补丁作为一种礼貌。