- Ensure we don't boot oversized images (CVE-2013-4463 and     CVE-2013-2096)

    - Require ipmitool for baremetal driver (#1022243)

    - Remove cert and scheduler hard dependency on       cinderclient (#1031679)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

- サイズが大きすぎる画像を起動しないようにします（CVE-2013-4463 と CVE-2013-2096）

- ipmitool を baremetal ドライバーに対して求めます（#1022243）

- cinderclient 上の証明書およびスケジューラハード依存関係を削除します（#1031679）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

- 確保我們不會開啟過大的影像 (CVE-2013-4463 和 CVE-2013-2096)

- baremetal 驅動程式需要 ipmitool (#1022243)

- 移除 cinderclient 上的憑證和排程器硬式相依性 (#1031679)

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

- 确保我们不启动超大图像（CVE-2013-4463 和 CVE-2013-2096）

- baremetal 驱动程序需要 ipmitool (#1022243)

- 删除 cinderclient 上的证书和计划程序硬依赖关系 (#1031679)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Fix CVE-2013-4469 and CVE-2013-4463 Fix CVE-2013-4469 and CVE-2013-4463

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2014:0112 advisory.

    The openstack-nova packages provide OpenStack Compute (nova), which     provides services for provisioning, managing, and using virtual     machine instances.

    It was discovered that enabling qpid_protocol = ssl in the nova.conf file     did not result in nova using SSL to communicate to Qpid. If Qpid was not     configured to enforce SSL this could lead to sensitive information being     sent unencrypted over the communication channel. (CVE-2013-6491)

    A flaw was found in the way OpenStack Compute controlled the size of disk     images. An authenticated remote user could use malicious compressed qcow2     disk images to consume large amounts of disk space, potentially causing a     denial of service on the OpenStack Compute nodes. (CVE-2013-4463)

    Red Hat would like to thank the OpenStack project for reporting     CVE-2013-4463. Upstream acknowledges Bernhard M. Wiedemann of SuSE as the     original reporter of this issue.

    This update also fixes the following bugs:

    * When using GroupAntiAffinityFilter, the scheduler was not filtering     instances in the group, which could cause an instance to not be scheduled     at all if a group was specified on boot. With this fix, groups are taken     into account and the instance is scheduled as expected. (BZ#1014948)

    * If an exchange had not been created previously by a consumer, the     publisher would crash because it could not find the specified exchange.
    This resulted from Qpid's direct publisher using the wrong exchange type     'Direct'. With this fix, the exchange type in the publisher has been     changed to 'direct'. (BZ#1042055)

    * Unhandled errors in the Qpid consuming thread could kill it silently and     isolate the component from the rest of the system. To fix this, the     consuming thread has been made more resilient to errors by ensuring it does     not die on an unhandled error. Compute now logs the error and retries the     consuming thread. (BZ#1050213)

    All openstack-nova users are advised to upgrade to these updated packages,     which contain backported patches to correct these issues.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Ubuntu 14.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-2247-1 advisory.

    Darragh O'Reilly discovered that the Ubuntu packaging for OpenStack Nova did not properly set up its sudo     configuration. If a different flaw was found in OpenStack Nova, this vulnerability could be used to     escalate privileges. This issue only affected Ubuntu 13.10 and Ubuntu 14.04 LTS. (CVE-2013-1068)

    Bernhard M. Wiedemann and Pedraig Brady discovered that OpenStack Nova did not properly verify the virtual     size of a QCOW2 images. A remote authenticated attacker could exploit this to create a denial of service     via disk consumption. This issue did not affect Ubuntu 14.04 LTS. (CVE-2013-4463, CVE-2013-4469)

    JuanFra Rodriguez Cardoso discovered that OpenStack Nova did not enforce SSL connections when Nova was     configured to use QPid and qpid_protocol is set to 'ssl'. If a remote attacker were able to perform a     machine-in-the-middle attack, this flaw could be exploited to view sensitive information. Ubuntu does not     use QPid with Nova by default. This issue did not affect Ubuntu 14.04 LTS. (CVE-2013-6491)

    Loganathan Parthipan discovered that OpenStack Nova did not properly create expected files during KVM live     block migration. A remote authenticated attacker could exploit this to obtain root disk snapshot contents     via ephemeral storage. This issue did not affect Ubuntu 14.04 LTS. (CVE-2013-7130)

    Stanislaw Pitucha discovered that OpenStack Nova did not enforce the image format when rescuing an     instance. A remote authenticated attacker could exploit this to read host files. In the default     installation, attackers would be isolated by the libvirt guest AppArmor profile. This issue only affected     Ubuntu 13.10. (CVE-2014-0134)

    Mark Heckmann discovered that OpenStack Nova did not enforce RBAC policy when adding security group rules     via the EC2 API. A remote authenticated user could exploit this to gain unintended access to this API.
    This issue only affected Ubuntu 13.10. (CVE-2014-0167)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

CVE-2013-4469 および CVE-2013-4463 を修正。CVE-2013-4469 および CVE-2013-4463 を修正。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:0112 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    openstack-nova パッケージは、仮想マシンインスタンスのプロビジョニング、管理、使用のためのサービスを提供する OpenStack Compute (nova) を提供します。

    nova.conf ファイルで qpid_protocol = ssl を有効にしても、nova が SSL を使用して Qpid と通信しないことが判明しました。Qpid が SSL を実施するように構成されていない場合、機密情報が暗号化されないで通信チャネル経由で送信される可能性があります。 （CVE-2013-6491）

    OpenStack Compute がディスクイメージのサイズを制御する方法で、欠陥が見つかりました。認証されたリモートユーザーが、悪意のある圧縮された qcow2 ディスクイメージを使用して、大量のディスクスペースを消費することで、OpenStack コンピュートノードでサービス拒否を引き起こす可能性があります。 （CVE-2013-4463）

    Red Hatは、 CVE-2013-4463を報告してくれたOpenStackプロジェクトに感謝の意を表します。Upstream は、SuSE の Bernhard M. Wiedemann 氏をこの問題の最初の報告者として認めます。

    この更新では、次のバグも修正しています。

    * GroupAntiAffinityFilterを使用するとき、スケジューラはグループ内のインスタンスをフィルタリングしていなかったため、起動時にグループが指定された場合、インスタンスがまったくスケジュールされない可能性があります。この修正により、グループが考慮され、インスタンスが想定通りにスケジュールされるようになりました。 （BZ#1014948）

    * 以前にコンシューマーによって作成されたことがない取引所の場合、指定された取引所を見つけられないために、パブリッシャーがクラッシュしていました。
    これは、Qpidのダイレクトパブリッシャーが誤ったエクスチェンジタイプ「ダイレクト」を使用したことが原因です。この修正により、パブリッシャーの交換タイプは「direct」に変更されました。 （BZ#1042055）

    * Qpid消費スレッドの未処理のエラーにより、サイレントに強制終了され、コンポーネントがシステムの残りの部分から分離される可能性があります。これを修正するために、消費するスレッドは、処理されないエラーで終了しないようにすることで、エラーに対するレジリエンスが向上されました。Compute は、エラーを記録し、消費スレッドを再試行するようになりました。 （BZ#1050213）

    openstack-nova の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 14.04 LTS ホストには、USN-2247-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Darragh O'Reilly 氏は、OpenStack Nova の Ubuntu パッケージが適切にその sudo 設定を設定しないことを発見しました。これは、OpenStack Nova で見つかった異なる欠陥であり、この脆弱性は権限昇格に使用される可能性があります。この問題の影響を受けるのは、Ubuntu 13.10およびUbuntu 14.04 LTSのみです。(CVE-2013-1068)

    Bernhard M. Wiedemann 氏と Pedraig Brady 氏は、OpenStack Nova が QCOW2 画像の仮想サイズを適切に検証しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、ディスク消費を介して、サービス拒否を引き起こす可能性があります。これらの問題は、Ubuntu 14.04 LTS に影響を与えませんでした。(CVE-2013-4463、CVE-2013-4469)

    JuanFra Rodriguez Cardoso 氏は、Nova が QPid を使用するように設定され、qpid_protocol が「ssl」に設定されている場合に、OpenStack Nova が SSL 接続を実行しないことを発見しました。リモートの攻撃者が、中間マシン攻撃を実行できる場合、この欠陥を悪用して、機密情報を表示する可能性があります。デフォルトでは、Ubuntu は QPid を Nova と一緒に使用しません。これらの問題は、Ubuntu 14.04 LTS に影響を与えませんでした。(CVE-2013-6491)

    Loganathan Parthipan 氏は、KVM ライブブロック移行の際に OpenStack Nova が期待されるファイルを適切に作成しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、エフェメラル ストレージを介して、ルート ディスク スナップショットを取得する可能性があります。これらの問題は、Ubuntu 14.04 LTS に影響を与えませんでした。(CVE-2013-7130)

    Stanislaw Pitucha 氏は、OpenStack Nova がインスタンスを救助する際に、画像フォーマットを強制しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、ホストファイルを読み取る可能性があります。デフォルトのインストールで、攻撃者が libvirt ゲスト AppArmor プロファイルから分離される可能性があります。この問題の影響を受けるのは Ubuntu 13.10 のみです。(CVE-2014-0134)

    Mark Heckmann 氏は、OpenStack Nova が EC2 API を介してセキュリティグループルールを追加するときに、RBAC ポリシーを強制しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、この API に意図されないアクセスを行う可能性があります。
    この問題の影響を受けるのは Ubuntu 13.10 のみです。(CVE-2014-0167)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2014:0112 公告中提及的多個弱點影響。

    openstack-nova 套件提供 OpenStack Compute (nova)，可提供佈建、管理和使用虛擬機器執行個體的服務。

    據發現，在 nova.conf 檔案中啟用 qpid_protocol = ssl 並不會導致 nova 使用 SSL 來與 Qpid 通訊。如果未將 Qpid 設定為強制執行 SSL，這可導致透過通訊通道在未加密的情況下傳送敏感資訊。 (CVE-2013-6491)

    在 OpenStack Compute 控制磁碟映像大小的方式中發現一個瑕疵。經驗證的遠端使用者可利用惡意壓縮的 qcow2 磁碟映像來消耗大量磁碟空間，進而可能在 OpenStack Compute 節點上造成拒絕服務。 (CVE-2013-4463)

    Red Hat 要感謝 OpenStack 專案報告 CVE-2013-4463。上游確認 SuSE 的 Bernhard M. Wiedemann 是此問題的原始報告者。

    此更新也可修正下列錯誤：

    * 使用 GroupAntiAffinityFilter 時，排程器未篩選群組中的執行個體，如果在開機時指定群組，這可造成執行個體完全無法排程。透過此修正，系統會將群組納入考量，並如預期排程執行個體。 (BZ#1014948)

    * 如果使用者之前未建立交換，發布者將會因找不到指定的交換而當機。
    這是因為 Qpid 的直接發布者使用了錯誤的交換類型「Direct」所導致。透過此修正，發布者中的交換類型已變更為「直接」。 (BZ#1042055)

    * Qpid 消耗執行緒中的未處理錯誤可在無訊息的情況下終止，並將元件與系統的其餘部分隔離。為修正此問題，已透過確保消耗執行緒不會因為未處理的錯誤而停止回應，藉此增強其對錯誤的應變能力。Compute 現會記錄錯誤，並重試消耗執行緒。 (BZ#1050213)

    建議所有 openstack-nova 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

修正 CVE-2013-4469 和 CVE-2013-4463 修正 CVE-2013-4469 和 CVE-2013-4463

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Ubuntu 14.04 LTS 主機上安裝的套件受到 USN-2247-1 公告中所提及的多個弱點影響。

    Darragh O'Reilly 發現，OpenStack Nova 的 Ubuntu 封裝未正確設定其 sudo 組態。若在 OpenStack Nova 中發現一個不同的瑕疵，便可利用此弱點提升權限。受此問題影響的只有 Ubuntu 13.10與 Ubuntu 14.04 LTS。(CVE-2013-1068)

    Bernhard M. Wiedemann 和 Pedraig Brady 發現，OpenStack Nova 未正確驗證 QCOW2 影像的虛擬大小。經驗證的遠端攻擊者可惡意利用此弱點，透過磁碟消耗引發拒絕服務。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-4463、CVE-2013-4469)

    JuanFra Rodriguez Cardoso 發現，OpenStack Nova 在 Nova 設為使用 QPid 且 qpid_protocol 設為「ssl」時，並未強制 SSL 連線。如果遠端攻擊者能執行攔截式攻擊，則可利用此缺陷來檢視敏感資訊。Ubuntu 的 Nova 預設並未使用 QPid。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-6491)

    Loganathan Parthipan 發現，OpenStack Nova 在 KVM 即時區塊移轉期間未正確建立預期的檔案。經驗證的遠端攻擊者可惡意利用此弱點，透過暫時儲存區取得 root 磁碟快照內容。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-7130)

    Stanislaw Pitucha 發現，OpenStack Nova 在救援執行個體時未強制執行影像格式。經驗證的遠端攻擊者可惡意利用此弱點讀取主機檔案。在預設安裝中，攻擊者會遭到 libvirt 來賓 AppArmor 設定檔隔離。此問題只會影響 Ubuntu 13.10。(CVE-2014-0134)

    Mark Heckmann 發現，OpenStack Nova 在透過 EC2 API 新增安全性群組規則時，未強制執行 RBAC 原則。經驗證的遠端使用者可惡意利用此弱點，取得此 API 的未預期存取權。
    此問題只會影響 Ubuntu 13.10。(CVE-2014-0167)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:0112 公告中提及的多个漏洞的影响。

    openstack-nova 程序包提供了 OpenStack Compute (nova)，后者可为置备、管理和使用虚拟机实例提供服务。

    已发现在 nova.conf 文件中启用 qpid_protocol = ssl 不会导致 nova 使用 SSL 与 Qpid 通信。如果 Qpid 未配置为执行 SSL，这可能导致敏感信息以未加密的方式通过通信信道发送。 (CVE-2013-6491)

    在 OpenStack 计算控制磁盘映像大小的方式中发现一个缺陷。经认证的远程用户可能使用恶意的 qcow2 压缩磁盘映像消耗大量磁盘空间，可能造成 OpenStack 计算节点拒绝服务。 (CVE-2013-4463)

    Red Hat 在此感谢 OpenStack 项目报告 CVE-2013-4463。上游感谢 SuSE 的 Bernhard M. Wiedemann 为此问题的原始报告者。

    此更新还修复以下缺陷：

    * 当使用 GroupAntiAffinityFilter 时，计划程序未过滤组中的实例，如果在启动时指定了组，这可导致完全不计划实例。通过此修复，系统会考虑群组并按预期计划实例。 (BZ#1014948)

    * 如果使用者之前未创建交换，则发布者会因为找不到指定的交换而崩溃。
    这是由于 Qpid 的直接发布者使用了错误的交换类型“Direct”所致。借助此补丁，发布者中的交换类型已更改为“定向”。 (BZ#1042055)

    * Qpid 使用线程中存在未处理的错误，可能以静默方式将其终止，并将组件与系统的其余部分隔离。为修复此问题，通过确保其不会因未处理的错误而终止，提高了使用线程对错误的弹性。计算现在记录错误并重试使用线程。 (BZ#1050213)

    建议所有 openstack-nova 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS 主机上安装的多个程序包受到 USN-2247-1 公告中提及的多个漏洞影响。

    Darragh O’Reilly 发现，适用于 OpenStack Nova 的 Ubuntu 打包未正确设置其 sudo 配置。如果在 OpenStack Nova 中发现其他缺陷，则可利用此漏洞升级权限。此问题仅影响 Ubuntu 13.10 和 Ubuntu 14.04 LTS。(CVE-2013-1068)

    Bernhard M. Wiedemann 和 Pedraig Brady 发现 OpenStack Nova 未正确验证 QCOW2 镜像的虚拟大小。经过认证的远程攻击者可利用此缺陷通过磁盘消耗造成拒绝服务。此问题未影响 Ubuntu 14.04 LTS。（CVE-2013-4463、CVE-2013-4469）

    JuanFra Rodriguez Cardoso 发现将 Nova 配置为使用 QPid 并且 qpid_protocol 设置为“ssl”时，OpenStack Nova 未强制执行 SSL 连接。如果远程攻击者能够执行中间机攻击，可利用该缺陷查看敏感信息。在默认情况下，Ubuntu 没有通过 Nova 使用 QPid。此问题未影响 Ubuntu 14.04 LTS。（CVE-2013-6491）

    Loganathan Parthipan 发现在 KVM 实时块迁移期间，OpenStack Nova 未正确创建预期文件。经过认证的远程攻击者可利用此缺陷通过临时存储获取根磁盘快照内容。此问题未影响 Ubuntu 14.04 LTS。（CVE-2013-7130）

    Stanislaw Pitucha 发现在 rescue 实例时，OpenStack Nova 未强制执行图像格式。经过认证的远程攻击者可利用此缺陷读取主机文件。在默认安装下，通过 libvirt 客户机 AppArmor 配置文件隔离攻击者。此问题仅影响 Ubuntu 13.10。(CVE-2014-0134)

    Mark Heckmann 发现在通过 EC2 API 添加安全群组规则时，OpenStack Nova 未强制执行 RBAC 策略。经过认证的远程攻击者可利用此缺陷获得对该 API 的非预期访问权限。
    此问题仅影响 Ubuntu 13.10。(CVE-2014-0167)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

修复 CVE-2013-4469 和 CVE-2013-4463 修复 CVE-2013-4469 和 CVE-2013-4463

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名稱	產品	系列	已發布	已更新	嚴重性
71418	Fedora 20 : openstack-nova-2013.2-4.fc20 (2013-22667)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	low
71418	Fedora 20：openstack-nova-2013.2-4.fc20（2013-22667）	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	low
71418	Fedora 20 : openstack-nova-2013.2-4.fc20 (2013-22667)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	low
71418	Fedora 20：openstack-nova-2013.2-4.fc20 (2013-22667)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	low
71363	Fedora 19 : openstack-nova-2013.1.4-3.fc19 (2013-22693)	Nessus	Fedora Local Security Checks	2013/12/12	2021/1/11	low
234390	RHEL 6 : openstack-nova (RHSA-2014:0112)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
76109	Ubuntu 14.04 LTS : OpenStack Nova vulnerabilities (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2025/9/3	high
71363	Fedora 19：openstack-nova-2013.1.4-3.fc19（2013-22693）	Nessus	Fedora Local Security Checks	2013/12/12	2021/1/11	low
234390	RHEL 6 : openstack-nova (RHSA-2014:0112)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
76109	Ubuntu 14.04 LTS : OpenStack Nova の脆弱性 (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2025/9/3	high
234390	RHEL 6：openstack-nova (RHSA-2014:0112)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
71363	Fedora 19 : openstack-nova-2013.1.4-3.fc19 (2013-22693)	Nessus	Fedora Local Security Checks	2013/12/12	2021/1/11	low
76109	Ubuntu 14.04 LTS：OpenStack Nova 弱點 (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2025/9/3	high
234390	RHEL 6：openstack-nova (RHSA-2014:0112)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
76109	Ubuntu 14.04 LTS：OpenStack Nova 漏洞 (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2025/9/3	high
71363	Fedora 19：openstack-nova-2013.1.4-3.fc19 (2013-22693)	Nessus	Fedora Local Security Checks	2013/12/12	2021/1/11	low

偵測

搜尋 Plugin

low

low

low

low

low

high

high

low

high

high

high

low

high

high

high

low