USN-2208-1 fixed vulnerabilities in OpenStack Cinder. This update provides the corresponding updates for OpenStack Quantum.

JuanFra Rodriguez Cardoso discovered that OpenStack Cinder did not enforce SSL connections when Nova was configured to use QPid and qpid_protocol is set to 'ssl'. If a remote attacker were able to perform a man-in-the-middle attack, this flaw could be exploited to view sensitive information. Ubuntu does not use QPid with Nova by default.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

USN-2208-1 は、OpenStack Cinder の脆弱性を修正しました。この更新は OpenStack Quantum に対応する更新を提供します。

JuanFra Rodriguez Cardoso は、Nova が QPid を使用するように設定され、 qpid_protocol が「ssl」に設定されている場合、OpenStack Cinder が SSL 接続を実行しないことを発見しました。リモートの攻撃者が、中間者攻撃を実行できる場合、この欠陥を悪用して、機密情報を表示する可能性があります。デフォルトでは、Ubuntu は QPid を Nova と一緒に使用しません。

USN-2208-1 修正 OpenStack Cinder 中的弱點。此更新提供 OpenStack Quantum 的對應更新。

JuanFra Rodriguez Cardoso 發現，OpenStack Cinder 在 Nova 設為使用 QPid 且 qpid_protocol 設為‘ssl’時，並未強制 SSL 連線。如果遠端攻擊者能執行攔截式攻擊，則可惡意利用此瑕疵來檢視敏感資訊。Ubuntu 的 Nova 預設並未使用 QPid。

USN-2208-1 修复了 OpenStack Cinder 中的若干漏洞。此更新提供针对 OpenStack Quantum 的相应更新。

JuanFra Rodriguez Cardoso 发现，当 Nova 设置为使用 QPid 并且 qpid_protocol 设置为“ssl”时，OpenStack Cinder 没有强制执行 SSL 连接。如果远程攻击者能够执行中间人攻击，可利用该缺陷查看敏感信息。在默认情况下，Ubuntu 没有通过 Nova 使用 QPid。

JuanFra Rodriguez Cardoso discovered that OpenStack Cinder did not enforce SSL connections when Nova was configured to use QPid and qpid_protocol is set to 'ssl'. If a remote attacker were able to perform a man-in-the-middle attack, this flaw could be exploited to view sensitive information. Ubuntu does not use QPid with Nova by default.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Darragh O'Reilly discovered that OpenStack Nova did not properly set up its sudo configuration. If a different flaw was found in OpenStack Nova, this vulnerability could be used to escalate privileges. This issue only affected Ubuntu 13.10 and Ubuntu 14.04 LTS. (CVE-2013-1068)

Bernhard M. Wiedemann and Pedraig Brady discovered that OpenStack Nova did not properly verify the virtual size of a QCOW2 images. A remote authenticated attacker could exploit this to create a denial of service via disk consumption. This issue did not affect Ubuntu 14.04 LTS. (CVE-2013-4463, CVE-2013-4469)

JuanFra Rodriguez Cardoso discovered that OpenStack Nova did not enforce SSL connections when Nova was configured to use QPid and qpid_protocol is set to 'ssl'. If a remote attacker were able to perform a man-in-the-middle attack, this flaw could be exploited to view sensitive information. Ubuntu does not use QPid with Nova by default. This issue did not affect Ubuntu 14.04 LTS. (CVE-2013-6491)

Loganathan Parthipan discovered that OpenStack Nova did not properly create expected files during KVM live block migration. A remote authenticated attacker could exploit this to obtain root disk snapshot contents via ephemeral storage. This issue did not affect Ubuntu 14.04 LTS. (CVE-2013-7130)

Stanislaw Pitucha discovered that OpenStack Nova did not enforce the image format when rescuing an instance. A remote authenticated attacker could exploit this to read host files. In the default installation, attackers would be isolated by the libvirt guest AppArmor profile. This issue only affected Ubuntu 13.10.
(CVE-2014-0134)

Mark Heckmann discovered that OpenStack Nova did not enforce RBAC policy when adding security group rules via the EC2 API. A remote authenticated user could exploit this to gain unintended access to this API. This issue only affected Ubuntu 13.10. (CVE-2014-0167).

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

JuanFra Rodriguez Cardoso は、Nova が QPid を使用するように設定され、 qpid_protocol が「ssl」に設定されている場合、OpenStack Cinder が SSL 接続を実行しないことを発見しました。リモートの攻撃者が、中間者攻撃を実行できる場合、この欠陥を悪用して、機密情報を表示する可能性があります。デフォルトでは、Ubuntu は QPid を Nova と一緒に使用しません。

Darragh O'Reilly 氏は、OpenStack Nova が適切にその sudo 構成を設定しないことを発見しました。これは、OpenStack Nova で見つかった異なる欠陥であり、この脆弱性は権限昇格に使用される可能性があります。この問題の影響を受けるのは、Ubuntu 13.10およびUbuntu 14.04 LTSのみです。(CVE-2013-1068) 

Bernhard M. Wiedemann 氏と Pedraig Brady 氏は、OpenStack Nova が QCOW2 画像の仮想サイズを適切に検証しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、ディスク消費を介して、サービス拒否を引き起こす可能性があります。これらの問題は、Ubuntu 14.04 LTS に影響を与えませんでした。(CVE-2013-4463、CVE-2013-4469)

JuanFra Rodriguez Cardoso 氏は、Nova が QPid を使用するように設定され、qpid_protocol が「ssl」に設定されている場合に、OpenStack Nova が SSL 接続を実行しないことを発見しました。リモートの攻撃者が、中間者攻撃を実行できる場合、この欠陥を悪用して、機密情報を表示する可能性があります。デフォルトでは、Ubuntu は QPid を Nova と一緒に使用しません。これらの問題は、Ubuntu 14.04 LTS に影響を与えませんでした。(CVE-2013-6491)

Loganathan Parthipan 氏は、KVM ライブブロック移行の際に OpenStack Nova が期待されるファイルを適切に作成しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、エフェメラル ストレージを介して、ルート ディスク スナップショットを取得する可能性があります。これらの問題は、Ubuntu 14.04 LTS に影響を与えませんでした。(CVE-2013-7130)

Stanislaw Pitucha 氏は、OpenStack Nova がインスタンスを救助する際に、画像フォーマットを強制しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、ホストファイルを読み取る可能性があります。デフォルトのインストールで、攻撃者が libvirt ゲスト AppArmor プロファイルから分離される可能性があります。この問題の影響を受けるのは、Ubuntu 13.10のみです。
(CVE-2014-0134)

Mark Heckmann 氏は、OpenStack Nova が EC2 API を介してセキュリティグループルールを追加するときに、RBAC ポリシーを強制しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、この API に意図されないアクセスを行う可能性があります。この問題の影響を受けるのは、Ubuntu 13.10のみです。(CVE-2014-0167)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

JuanFra Rodriguez Cardoso 發現，OpenStack Cinder 在 Nova 設為使用 QPid 且 qpid_protocol 設為‘ssl’時，並未強制 SSL 連線。如果遠端攻擊者能執行攔截式攻擊，則可惡意利用此瑕疵來檢視敏感資訊。Ubuntu 的 Nova 預設並未使用 QPid。

Darragh O’Reilly 發現，OpenStack Nova 未正確設定其 sudo 組態。若在 OpenStack Nova 中發現一個不同的瑕疵，便可利用此弱點提升權限。受此問題影響的只有 Ubuntu 13.10與 Ubuntu 14.04 LTS。(CVE-2013-1068)

Bernhard M. Wiedemann 和 Pedraig Brady 發現，OpenStack Nova 未正確驗證 QCOW2 影像的虛擬大小。經驗證的遠端攻擊者可惡意利用此弱點，透過磁碟消耗引發拒絕服務。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-4463、CVE-2013-4469)

JuanFra Rodriguez Cardoso 發現，OpenStack Nova 在 Nova 設為使用 QPid 且 qpid_protocol 設為「ssl」時，並未強制 SSL 連線。如果遠端攻擊者能執行攔截式攻擊，則可惡意利用此瑕疵來檢視敏感資訊。Ubuntu 的 Nova 預設並未使用 QPid。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-6491)

Loganathan Parthipan 發現，OpenStack Nova 在 KVM 即時區塊移轉期間未正確建立預期的檔案。經驗證的遠端攻擊者可惡意利用此弱點，透過暫時儲存區取得 root 磁碟快照內容。此問題不會影響 Ubuntu 14.04 LTS。(CVE-2013-7130)

Stanislaw Pitucha 發現，OpenStack Nova 在救援執行個體時未強制執行影像格式。經驗證的遠端攻擊者可惡意利用此弱點讀取主機檔案。在預設安裝中，攻擊者會遭到 libvirt 來賓 AppArmor 設定檔隔離。此問題只會影響 Ubuntu 13.10。
(CVE-2014-0134)

Mark Heckmann 發現，OpenStack Nova 在透過 EC2 API 新增安全性群組規則時，未強制執行 RBAC 原則。經驗證的遠端使用者可惡意利用此弱點，取得此 API 的未預期存取權。此問題僅影響了 Ubuntu 13.10。(CVE-2014-0167)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

JuanFra Rodriguez Cardoso 发现，当 Nova 设置为使用 QPid 并且 qpid_protocol 设置为“ssl”时，OpenStack Cinder 没有强制执行 SSL 连接。如果远程攻击者能够执行中间人攻击，可利用该缺陷查看敏感信息。在默认情况下，Ubuntu 没有通过 Nova 使用 QPid。

Darragh O'Reilly 发现 OpenStack Nova 未正确设置其 sudo 配置。如果在 OpenStack Nova 中发现其他缺陷，则可利用此漏洞升级权限。此问题仅影响 Ubuntu 13.10 和 Ubuntu 14.04 LTS。(CVE-2013-1068)

Bernhard M. Wiedemann 和 Pedraig Brady 发现 OpenStack Nova 未正确验证 QCOW2 镜像的虚拟大小。经过认证的远程攻击者可利用此缺陷通过磁盘消耗造成拒绝服务。此问题未影响 Ubuntu 14.04 LTS。（CVE-2013-4463、CVE-2013-4469）

JuanFra Rodriguez Cardoso 发现将 Nova 配置为使用 QPid 并且 qpid_protocol 设置为“ssl”时，OpenStack Nova 未强制执行 SSL 连接。如果远程攻击者能够执行中间人攻击，可利用该缺陷查看敏感信息。在默认情况下，Ubuntu 没有通过 Nova 使用 QPid。此问题未影响 Ubuntu 14.04 LTS。（CVE-2013-6491）

Loganathan Parthipan 发现在 KVM 实时块迁移期间，OpenStack Nova 未正确创建预期文件。经过认证的远程攻击者可利用此缺陷通过临时存储获取根磁盘快照内容。此问题未影响 Ubuntu 14.04 LTS。（CVE-2013-7130）

Stanislaw Pitucha 发现在 rescue 实例时，OpenStack Nova 未强制执行图像格式。经过认证的远程攻击者可利用此缺陷读取主机文件。在默认安装下，通过 libvirt 客户机 AppArmor 配置文件隔离攻击者。此问题仅影响 Ubuntu 13.10。
(CVE-2014-0134)

Mark Heckmann 发现在通过 EC2 API 添加安全群组规则时，OpenStack Nova 未强制执行 RBAC 策略。经过认证的远程攻击者可利用此缺陷获得对该 API 的非预期访问权限。此问题仅影响 Ubuntu 13.10。(CVE-2014-0167)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名稱	產品	系列	已發布	已更新	嚴重性
73906	Ubuntu 12.10 : quantum vulnerability (USN-2208-2)	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
73906	Ubuntu 12.10：quantum の脆弱性（USN-2208-2）	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
73906	Ubuntu 12.10：quantum 弱點 (USN-2208-2)	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
73906	Ubuntu 12.10：quantum 漏洞 (USN-2208-2)	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
73905	Ubuntu 12.10 : cinder vulnerability (USN-2208-1)	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
76109	Ubuntu 14.04 LTS : OpenStack Nova vulnerabilities (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2023/10/20	high
73905	Ubuntu 12.10：cinder の脆弱性（USN-2208-1）	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
76109	Ubuntu 14.04 LTS : OpenStack Nova の脆弱性 (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2023/10/20	high
73905	Ubuntu 12.10：cinder 弱點 (USN-2208-1)	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
76109	Ubuntu 14.04 LTS：OpenStack Nova 弱點 (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2023/10/20	high
73905	Ubuntu 12.10：cinder 漏洞 (USN-2208-1)	Nessus	Ubuntu Local Security Checks	2014/5/7	2021/1/19	medium
76109	Ubuntu 14.04 LTS：OpenStack Nova 漏洞 (USN-2247-1)	Nessus	Ubuntu Local Security Checks	2014/6/18	2023/10/20	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

high

medium

high

medium

high

medium

high