The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - OpenStack Identity (Keystone) before 2013.2.4, 2014.1 before 2014.1.2, and Juno before Juno-2 does not     properly handle chained delegation, which allows remote authenticated users to gain privileges by     leveraging a (1) trust or (2) OAuth token with impersonation enabled to create a new token with additional     roles. (CVE-2014-3476)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Ubuntu 14.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-2324-1 advisory.

    Steven Hardy discovered that OpenStack Keystone did not properly handle chained delegation. A remove     authenticated attacker could use this to gain privileges by creating a new token with additional roles.
    (CVE-2014-3476)

    Jamie Lennox discovered that OpenStack Keystone did not properly validate the project id. A remote     authenticated attacker may be able to use this to access other projects. (CVE-2014-3520)

    Brant Knudson and Lance Bragstad discovered that OpenStack Keystone would not always revoke tokens     correctly. If Keystone were configured to use revocation events, a remote authenticated attacker could     continue to have access to resources. (CVE-2014-5251, CVE-2014-5252, CVE-2014-5253)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2013.2.4より前の OpenStack Identity（Keystone）、 2014.1 より前の 2014.1.2、および Juno-2 より前の Juno は、連鎖した委任を適切に処理しません。これにより、リモートの認証されたユーザーが、(1) 信頼または (2) OAuth トークンを利用して権限を取得する可能性があります。権限を付与されたユーザーが、追加のロールで新しいトークンを作成することを許可しました。 （CVE-2014-3476）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 14.04 LTS ホストには、USN-2324-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Steven Hardy 氏は、OpenStack Keystone がチェーンデレゲーションを適切に処理しないことを発見しました。認証されたリモートの攻撃者がこれを利用して、ロールが追加された新しいトークンを作成することで権限を取得する可能性があります。
    (CVE-2014-3476)

    Jamie Lennox 氏は、OpenStack Keystone がプロジェクト ID を適切に検証していないことを発見しました。リモートの認証された攻撃者がこれを使用して、他のプロジェクトにアクセスする可能性があります。(CVE-2014-3520)

    Brant Knudson 氏および Lance Bragstad 氏は、OpenStack Keystone が常にトークンを正しく取り消さないことを発見しました。Keystone が失効イベントを使用するように設定されていた場合、認証されたリモートの攻撃者が、リソースへのアクセス権を持ち続ける可能性があります。(CVE-2014-5251、CVE-2014-5252、CVE-2014-5253)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 2013.2.4之前的 2014.12014.1.2] 之前的 OpenStack Identity (Keystone)、 [] 之前的 以及 Juno-2 之前的 Juno 未正確處理鏈結的委派，其允許經驗證的遠端使用者透過利用 (1) 信任或 (2) OAuth token 來取得權限已啟用模擬以建立具有其他角色的新 token。 (CVE-2014-3476)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 2013.2.4之前的 OpenStack Identity (Keystone)、 2014.1 之前的 2014.1.2和 Juno-2 之前的 Juno 未正确处理链式委派，这可允许经过认证的远程用户通过利用 (1) 信任或 (2) OAuth 标记取得权限。启用了模拟的 ，以创建具有其他角色的新标记。 (CVE-2014-3476)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 14.04 LTS 主机上安装的多个程序包受到 USN-2324-1 公告中提及的多个漏洞影响。

    Steven Hardy 发现 OpenStack Keystone 未正确处理链式委派。经身份验证的远程攻击者可利用此问题，通过创建具有更多角色的新标记来获取权限。
    (CVE-2014-3476)

    Jamie Lennox 发现 OpenStack Keystone 未正确验证项目 ID。经过身份验证的远程攻击者可利用此问题访问其他项目。 (CVE-2014-3520)

    Brant Knudson 和 Lance Bragstad 发现 OpenStack Keystone 不会始终正确撤消标记。如果将 Keystone 配置为使用撤消事件，经认证的远程攻击者可继续访问资源。（CVE-2014-5251、CVE-2014-5252、CVE-2014-5253）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 14.04 LTS 主機上安裝的套件受到 USN-2324-1 公告中所提及的多個弱點影響。

    Steven Hardy 發現 OpenStack Keystone 未正確處理鏈結的委派。經驗證的遠端攻擊者可利用此弱點，以其他角色建立 token，從而取得權限。
    (CVE-2014-3476)

    Jamie Lennox 發現 OpenStack Keystone 未正確驗證專案 ID。經驗證的遠端攻擊者可利用此弱點存取其他專案。(CVE-2014-3520)

    Brant Knudson 和 Lance Bragstad 發現 OpenStack Keystone 無法每次都正確撤銷 token。若將 Keystone 設定為使用撤銷事件，則經驗證的遠端攻擊者可持續存取資源。(CVE-2014-5251、CVE-2014-5252、CVE-2014-5253)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2014:0994 advisory.

    The OpenStack Identity service (keystone) authenticates and authorizes     OpenStack users by keeping track of users and their permitted activities.
    The Identity service supports multiple forms of authentication, including     user name and password credentials, token-based systems, and AWS-style     logins.

    A flaw was found in keystone's chained delegation. A trustee able to create     a delegation from a trust or an OAuth token could misuse identity     impersonation to bypass the enforced scope, possibly allowing them to     obtain elevated privileges to the trustor's projects and roles.
    (CVE-2014-3476)

    A flaw was found in the way keystone handled trusts. A trustee could use an     out-of-scope project ID to gain unauthorized access to a project if the     trustor had the required roles for that requested project. (CVE-2014-3520)

    Red Hat would like to thank the OpenStack project for reporting     CVE-2014-3520; upstream acknowledges Jamie Lennox of Red Hat as the     original reporter. The CVE-2014-3476 issue was discovered by Steven Hardy     of Red Hat.

    All openstack-keystone users are advised to upgrade to these updated     packages, which correct these issues.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

- Sanitizes authentication methods received in requests     CVE-2014-2828

    - Privilege escalation through trust chained delegation       CVE-2014-3476

    - Keystone V2 trusts privilege escalation through user       supplied project id CVE-2014-3520

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

- リクエストで受信する認証メソッドをサニタイズします CVE-2014-2828

- トラストチェーンデレゲーションを通じた権限昇格 CVE-2014-3476

- Keystone V2 は、ユーザー指定のプロジェクト ID を通じた権限昇格を信頼します CVE-2014-3520

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:0994 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    OpenStack Identity サービス (keystone) は、ユーザーとその許可されているアクティビティを追跡することで、OpenStack ユーザーを認証および承認します。
    Identity サービスは、ユーザー名とパスワードの認証情報、トークンベースのシステム、AWS 形式のログインなど、さまざまな認証形式をサポートしています。

    keystone のチェーン委任で欠陥が見つかりました。信頼または OAuth トークンから委任を作成できるトラスティは、ID のなりすましを誤って強制された範囲をバイパスし、トラスターのプロジェクトやロールに対して昇格した特権を取得できる可能性があります。
    (CVE-2014-3476)

    keystone が信頼を処理する方法で、欠陥が見つかりました。トラスティは、トラスターがリクエストされたプロジェクトに必要なロールを持っている場合、範囲外のプロジェクト ID を使用して、プロジェクトへの不正アクセスを取得する可能性があります。(CVE-2014-3520)

    Red Hat は、CVE-2014-3520 を報告してくれた OpenStack プロジェクトに感謝の意を表します。Upstream は、Red Hat の Jamie Lennox 氏を最初の報告者として認めています。CVE-2014-3476 の問題は、Red Hat の Steven Hardy 氏により発見されました。

    すべての openstack-keystone ユーザーは、前述の更新済みパッケージにアップグレードし、これらの問題を修正することをお勧めしています。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

- 清理要求中收到的驗證方法 CVE-2014-2828

- 透過信任鏈結的委派權限提升 CVE-2014-3476

- Keystone V2 透過使用者提供的專案 ID 信任權限提升 CVE-2014-3520

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2014:0994 公告中提及的多個弱點影響。

    OpenStack Identity 服務 (keystone) 會追蹤使用者及其允許的活動，藉此驗證並授權 OpenStack 使用者。
    Identity 服務支援多種驗證形式，包括使用者名稱和密碼認證、權杖式系統和 AWS 式登入。

    在 keystone 的鏈結委派中發現一個缺陷。能夠從信任或 OAuth 權杖建立委派的受託人可能會誤用身分模擬來繞過強制執行的範圍，進而可能允許其取得信任者專案和角色的提升權限。
    (CVE-2014-3476)

    在 keystone 處理信任的方式中發現一個缺陷。如果信任者擁有所要求之專案的必要角色，受託人可使用超出範圍的專案 ID 來取得對專案的未經授權存取權。(CVE-2014-3520)

    Red Hat 感謝 OpenStack 專案報告 CVE-2014-3520；上游確認 Red Hat 的 Jamie Lennox 為原始報告者。CVE-2014-3476 問題是由 Red Hat 的 Steven Hardy 所發現。

    建議所有 openstack-keystone 使用者皆升級到這些更新版套件，其可更正這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

- 审查在请求中接收到的认证方法 CVE-2014-2828

- 通过信任链式委派导致权限升级 CVE-2014-3476

- Keystone V2 信任用户提供的项目 ID 而导致权限升级 CVE-2014-3520

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:0994 公告中提及的多个漏洞的影响。

    OpenStack Identity 服务 (keystone) 通过跟踪用户及其允许的活动，对 OpenStack 用户进行身份验证和授权。
    Identity 服务支持多种形式的身份验证，包括用户名和密码凭据、基于令牌的系统以及 AWS 样式的登录。

    在 keystone 的链式委派中发现缺陷。从信任或 OAuth 令牌创建委派的受信者可滥用身份模拟，绕过强制实施的范围，这可能使他们获得提升的权限来访问信任者的项目和角色。
    (CVE-2014-3476)

    在 keystone 处理信任的方式中发现缺陷。如果信任者具有所请求项目的必要角色，则受信者可使用超出范围的项目 ID 获取未经授权的项目访问权限。(CVE-2014-3520)

    Red Hat 在此感谢 OpenStack 项目报告 CVE-2014-3520；上游感谢原始报告者 Jamie Lennox (Red Hat)。CVE-2014-3476 问题由 Steven Hardy (Red Hat) 发现。

    建议所有 openstack-keystone 用户升级到这些更新后的程序包，其中修正了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
218345	Linux Distros Unpatched Vulnerability : CVE-2014-3476	Nessus	Misc.	2025/3/4	2025/3/4	high
77324	Ubuntu 14.04 LTS : OpenStack Keystone vulnerabilities (USN-2324-1)	Nessus	Ubuntu Local Security Checks	2014/8/22	2024/8/27	high
218345	Linux Distros のパッチ未適用の脆弱性: CVE-2014-3476	Nessus	Misc.	2025/3/4	2025/3/4	high
77324	Ubuntu 14.04 LTS : OpenStack Keystone の脆弱性 (USN-2324-1)	Nessus	Ubuntu Local Security Checks	2014/8/22	2024/8/27	high
218345	Linux Distros 未修補弱點：CVE-2014-3476	Nessus	Misc.	2025/3/4	2025/3/4	high
218345	Linux Distros 未修补的漏洞: CVE-2014-3476	Nessus	Misc.	2025/3/4	2025/3/4	high
77324	Ubuntu 14.04 LTS：OpenStack Keystone 漏洞 (USN-2324-1)	Nessus	Ubuntu Local Security Checks	2014/8/22	2024/8/27	high
77324	Ubuntu 14.04 LTS：OpenStack Keystone 弱點 (USN-2324-1)	Nessus	Ubuntu Local Security Checks	2014/8/22	2024/8/27	high
210147	RHEL 6 : openstack-keystone (RHSA-2014:0994)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	critical
77061	Fedora 20 : openstack-keystone-2013.2.3-5.fc20 (2014-5497)	Nessus	Fedora Local Security Checks	2014/8/8	2021/1/11	high
77061	Fedora 20：openstack-keystone-2013.2.3-5.fc20（2014-5497）	Nessus	Fedora Local Security Checks	2014/8/8	2021/1/11	high
210147	RHEL 6 : openstack-keystone (RHSA-2014:0994)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	critical
77061	Fedora 20 : openstack-keystone-2013.2.3-5.fc20 (2014-5497)	Nessus	Fedora Local Security Checks	2014/8/8	2021/1/11	high
210147	RHEL 6：openstack-keystone (RHSA-2014:0994)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	critical
77061	Fedora 20：openstack-keystone-2013.2.3-5.fc20 (2014-5497)	Nessus	Fedora Local Security Checks	2014/8/8	2021/1/11	high
210147	RHEL 6：openstack-keystone (RHSA-2014:0994)	Nessus	Red Hat Local Security Checks	2024/11/4	2025/4/15	critical

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

critical

high

high

critical

high

critical

high

critical