遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2014:0112 公告中提及的多個弱點影響。

    openstack-nova 套件提供 OpenStack Compute (nova)，可提供佈建、管理和使用虛擬機器執行個體的服務。

    據發現，在 nova.conf 檔案中啟用 qpid_protocol = ssl 並不會導致 nova 使用 SSL 來與 Qpid 通訊。如果未將 Qpid 設定為強制執行 SSL，這可導致透過通訊通道在未加密的情況下傳送敏感資訊。 (CVE-2013-6491)

    在 OpenStack Compute 控制磁碟映像大小的方式中發現一個瑕疵。經驗證的遠端使用者可利用惡意壓縮的 qcow2 磁碟映像來消耗大量磁碟空間，進而可能在 OpenStack Compute 節點上造成拒絕服務。 (CVE-2013-4463)

    Red Hat 要感謝 OpenStack 專案報告 CVE-2013-4463。上游確認 SuSE 的 Bernhard M. Wiedemann 是此問題的原始報告者。

    此更新也可修正下列錯誤：

    * 使用 GroupAntiAffinityFilter 時，排程器未篩選群組中的執行個體，如果在開機時指定群組，這可造成執行個體完全無法排程。透過此修正，系統會將群組納入考量，並如預期排程執行個體。 (BZ#1014948)

    * 如果使用者之前未建立交換，發布者將會因找不到指定的交換而當機。
    這是因為 Qpid 的直接發布者使用了錯誤的交換類型「Direct」所導致。透過此修正，發布者中的交換類型已變更為「直接」。 (BZ#1042055)

    * Qpid 消耗執行緒中的未處理錯誤可在無訊息的情況下終止，並將元件與系統的其餘部分隔離。為修正此問題，已透過確保消耗執行緒不會因為未處理的錯誤而停止回應，藉此增強其對錯誤的應變能力。Compute 現會記錄錯誤，並重試消耗執行緒。 (BZ#1050213)

    建議所有 openstack-nova 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

JuanFra Rodriguez Cardoso 發現，OpenStack Cinder 在 Nova 設為使用 QPid 且 qpid_protocol 設為‘ssl’時，並未強制 SSL 連線。如果遠端攻擊者能執行攔截式攻擊，則可惡意利用此瑕疵來檢視敏感資訊。Ubuntu 的 Nova 預設並未使用 QPid。

遠端 Ubuntu 14.04 LTS 主機上安裝的套件受到 USN-2247-1 公告中所提及的多個弱點影響。

    Darragh O'Reilly 發現，OpenStack Nova 的 Ubuntu 封裝未正確設定其 sudo 組態。若在 OpenStack Nova 中發現一個不同的瑕疵，便可利用此弱點提升權限。受此問題影響的只有 Ubuntu 13.10與 Ubuntu 14.04 LTS。(CVE-2013-1068)

    Bernhard M. Wiedemann 和 Pedraig Brady 發現，OpenStack Nova 未正確驗證 QCOW2 影像的虛擬大小。經驗證的遠端攻擊者可惡意利用此弱點，透過磁碟消耗引發拒絕服務。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-4463、CVE-2013-4469)

    JuanFra Rodriguez Cardoso 發現，OpenStack Nova 在 Nova 設為使用 QPid 且 qpid_protocol 設為「ssl」時，並未強制 SSL 連線。如果遠端攻擊者能執行攔截式攻擊，則可利用此缺陷來檢視敏感資訊。Ubuntu 的 Nova 預設並未使用 QPid。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-6491)

    Loganathan Parthipan 發現，OpenStack Nova 在 KVM 即時區塊移轉期間未正確建立預期的檔案。經驗證的遠端攻擊者可惡意利用此弱點，透過暫時儲存區取得 root 磁碟快照內容。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-7130)

    Stanislaw Pitucha 發現，OpenStack Nova 在救援執行個體時未強制執行影像格式。經驗證的遠端攻擊者可惡意利用此弱點讀取主機檔案。在預設安裝中，攻擊者會遭到 libvirt 來賓 AppArmor 設定檔隔離。此問題只會影響 Ubuntu 13.10。(CVE-2014-0134)

    Mark Heckmann 發現，OpenStack Nova 在透過 EC2 API 新增安全性群組規則時，未強制執行 RBAC 原則。經驗證的遠端使用者可惡意利用此弱點，取得此 API 的未預期存取權。
    此問題只會影響 Ubuntu 13.10。(CVE-2014-0167)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

USN-2208-1 修正 OpenStack Cinder 中的弱點。此更新提供 OpenStack Quantum 的對應更新。

JuanFra Rodriguez Cardoso 發現，OpenStack Cinder 在 Nova 設為使用 QPid 且 qpid_protocol 設為‘ssl’時，並未強制 SSL 連線。如果遠端攻擊者能執行攔截式攻擊，則可惡意利用此瑕疵來檢視敏感資訊。Ubuntu 的 Nova 預設並未使用 QPid。

ID	名稱	產品	系列	已發布	已更新	嚴重性
234390	RHEL 6：openstack-nova (RHSA-2014:0112)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
73905	Ubuntu 12.10：cinder 弱點 (USN-2208-1)	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
76109	Ubuntu 14.04 LTS：OpenStack Nova 弱點 (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2025/9/3	high
73906	Ubuntu 12.10：quantum 弱點 (USN-2208-2)	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium

偵測

搜尋 Plugin

high

medium

high

medium