遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2015:0839 公告中提及的弱點影響。

    OpenStack Dashboard (horizon) 為系統管理員和使用者提供圖形介面，可用來存取、佈建雲端資源並實現自動化。
    儀表板可讓雲端系統管理員全面了解雲端的大小和狀態，並且為終端使用者提供自助服務入口網站，讓他們在系統管理員設定的限制範圍內部署自己的資源。

    使用 db 或 memcached 工作階段引擎時，在 OpenStack Dashboard (horizon) 中發現一個拒絕服務瑕疵。攻擊者可向登入頁面提出重複要求，其將導致產生大量不需要的後端工作階段項目，進而可能導致拒絕服務。(CVE-2014-8124)

    Red Hat 要感謝 OpenStack 專案報告此問題。
    上游確認 Time Warner Cable 的 Eric Peterson 為原始報告者。

    已經將 python-django-horizon 套件升級至上游版本 2014.1.4，其針對舊版提供數個錯誤修正，包括：

    * 預設「target={}」值洩漏至後續的「policy.check()」呼叫。
    * Neutron 子網路建立工具提示包含無效的 HTML 標籤。
    * 管理儀表板中的記憶體報告不正確。
    * 容器儀表板未正確處理 unicode URL。
    (BZ#1203281)

    此更新也可修正下列錯誤：

    *「OPENSTACK_SSL_NO_VERIFY」選項用於啟用或停用 SSL 憑證有效性的檢查。在此更新之前，swift 用戶端會忽略此檢查。因此，您無法搭配 swift 使用 horizon，而且 swift 是透過自我簽署憑證存取。藉由此更新，現在可正確處理該選項，同時 Horizon 可在啟用「OPENSTACK_SSL_NO_VERIFY」選項的情況下使用此端點。(BZ#1192517)

    * 之前，horizon.log 並未自動截斷，導致記錄檔極大。透過此更新，logrotate 現在會裁切檔案，進而修正此問題。(BZ#1112621)

    建議所有 OpenStack Dashboard 使用者升級到這些更新版套件，以更正這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 7：python-django-horizon and python-django-openstack-auth 更新 (中等) (RHSA-2015:0839)

high Nessus Plugin ID 233186

版本 1.1