OpenStack 安全性公告：2014-012
CVE：CVE-2014-0162
日期：2014 年 4 月 10 日
標題：Glance Sheepdog 後端中的遠端程式碼執行
報告者：Paul McMillan (Nebula)
產品：Glance
版本：從 2013.2 至 2013.2.3

描述：Nebula 的 Paul McMillan 報告 Glance Sheepdog 後端有一個弱點。使用者可利用特製的位置，插入或修改 Glance 影像詮釋資料，進而可能以執行 Glance 服務的使用者身分，在 Glance 主機上觸發程式碼執行。這可能導致 Glance 主機遭到未經授權存取，並進一步影響到 Glance 服務的安全。若設定需要使用具有 sheepdog 後端 (預設為啟用) 的 Glance 伺服器，將一律受到影響。

Juno (開發分支) 修正：https://review.openstack.org/86622

Icehouse (里程碑版建議的分支) 修正：
https://review.openstack.org/86625

Havana 修正：https://review.openstack.org/86626

注意：此修正將隨附於 icehouse-rc2 開發里程碑版和 2013.2.4 未來版本。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Fedora 20：openstack-glance-2013.2.3-3.fc20 (2014-5198)

medium Nessus Plugin ID 73972

找不到變更記錄