Rongze Zhu discovered that the Cinder LVM driver did not zero out data when deleting snapshots. This could expose sensitive information to authenticated users when subsequent servers use the volume.
(CVE-2013-4183)

Grant Murphy discovered that Cinder would allow XML entity processing.
A remote unauthenticated attacker could exploit this using the Cinder API to cause a denial of service via resource exhaustion.
(CVE-2013-4179, CVE-2013-4202).

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2013:1198 advisory.

    The openstack-cinder packages provide OpenStack Volume (Cinder), which     provides services to manage and access block storage volumes for use by     virtual machine instances.

    It was found that the fixes for CVE-2013-1664 and CVE-2013-1665, released     via RHSA-2013:0658, did not fully correct the issues in the Extensible     Markup Language (XML) parser used by Cinder. A remote attacker could use     this flaw to send a specially-crafted request to a Cinder API, causing     Cinder to consume an excessive amount of CPU and memory, or possibly crash.
    (CVE-2013-4202)

    A bug in the Cinder LVM driver prevented LVM snapshots from being securely     deleted in some cases, potentially leading to information disclosure to     other tenants. (CVE-2013-4183)

    The CVE-2013-4202 issue was discovered by Grant Murphy of the Red Hat     Product Security Team.

    Additionally, openstack-cinder has been rebased to the latest Grizzly     stable release 2013.1.3. (BZ#993094)

    All users of openstack-cinder are advised to upgrade to these updated     packages, which correct these issues. After installing the updated     packages, the Cinder running services will be restarted automatically.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2013:1198 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - OpenStack: Cinder LVM ボリュームドライバーが安全な削除をサポートしていません (CVE-2013-4183)

  - OpenStack: XML エンティティを使用した Cinder のサービス拒否 (CVE-2013-4202)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rongze Zhu 氏は、スナップショットを削除する際に、Cinder LVM ドライバーがデータをゼロ設定していないことを発見しました。このため、後続のサーバーがボリュームを使用する場合に、認証されたユーザーに機密情報が公開される可能性があります。
(CVE-2013-4183)

Grant Murphy 氏は、Cinder が XML エンティティの処理を許可する場合があることを発見しました。
認証されていないリモートの攻撃者は Cinder API を使ってこの問題を悪用し、リソース枯渇によるサービス拒否を発生させる可能性があります。
（CVE-2013-4179、 CVE-2013-4202）。

Rongze Zhu 发现删除快照时，Cinder LVM 驱动程序不将数据归零。这可能在后续服务器使用卷时，将敏感信息泄露给经过认证的用户。
(CVE-2013-4183)

Grant Murphy 发现 Cinder 允许处理 XML 实体。
未经认证的远程攻击者可利用此缺陷，使用 Cinder API 通过资源耗尽而造成拒绝服务。
（CVE-2013-4179、CVE-2013-4202）。

Rongze Zhu 發現 Cinder LVM 驅動程式在刪除快照時，未將資料歸零。當之後的伺服器使用磁碟區時，這可能會將敏感資訊洩漏給經驗證的使用者。
(CVE-2013-4183)

Grant Murphy 發現 Cinder 會允許 XML 實體處理。
未經過驗證的遠端攻擊者可利用這點，使用 Cinder API 造成因資源耗盡而導致拒絕服務。
(CVE-2013-4179、CVE-2013-4202)。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:1198 公告中提及的多个漏洞影响。

  - OpenStack：Cinder LVM 卷驱动程序不支持安全删除 (CVE-2013-4183)

  - OpenStack：使用 XML 实体时发生 Cinder 拒绝服务 (CVE-2013-4202)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:1198 公告中提及的多個弱點影響。

  - OpenStack：Cinder LVM 磁碟區驅動程式不支援安全刪除 (CVE-2013-4183)

  - OpenStack：使用 XML 實體時發生 Cinder 拒絕服務 (CVE-2013-4202)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
70584	Ubuntu 13.04 : cinder vulnerabilities (USN-2005-1)	Nessus	Ubuntu Local Security Checks	2013/10/24	2019/9/19	medium
193680	RHEL 6 : openstack-cinder (RHSA-2013:1198)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/6/3	high
193680	RHEL 6 : openstack-cinder (RHSA-2013:1198)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/6/3	high
70584	Ubuntu 13.04：cinder の脆弱性（USN-2005-1）	Nessus	Ubuntu Local Security Checks	2013/10/24	2019/9/19	medium
70584	Ubuntu 13.04：cinder 漏洞 (USN-2005-1)	Nessus	Ubuntu Local Security Checks	2013/10/24	2019/9/19	medium
70584	Ubuntu 13.04：cinder 弱點 (USN-2005-1)	Nessus	Ubuntu Local Security Checks	2013/10/24	2019/9/19	medium
193680	RHEL 6：openstack-cinder (RHSA-2013:1198)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/6/3	high
193680	RHEL 6：openstack-cinder (RHSA-2013:1198)	Nessus	Red Hat Local Security Checks	2024/4/21	2024/6/3	high

偵測

搜尋 Plugin

medium

high

high

medium

medium

medium

high

high