There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Aodh as packaged in Openstack Ocata and Newton before change-ID I8fd11a7f9fe3c0ea5f9843a89686ac06713b7851
    and before Pike-rc1 does not verify that trust IDs belong to the user when creating alarm action with the
    scheme trust+http, which allows remote authenticated users with knowledge of trust IDs where Aodh is the
    trustee to obtain a Keystone token and perform unspecified authenticated actions by adding an alarm action
    with the scheme trust+http, and providing a trust id where Aodh is the trustee. (CVE-2017-12440)

Red Hat 的 Zane Bitter 在 OpenStack 警告引擎 Aodh 中發現一個弱點。Aodh 未驗證建立警告的使用者是否為信任者或具有與信任者相當的權利，也沒有驗證信任與警告所指的專案是否相同。經驗證的使用者若知道信任 ID，即使不具備 Keystone 權杖也依然可以利用此錯誤，透過加入警告動作來執行不明的經驗證動作。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Openstack Ocata 和 Newton 變更 ID I8fd11a7f9fe3c0ea5f9843a89686ac06713b7851 和 之前的 Pike-rc1 之前版本中封裝的 Aodh 在使用配置 trust+http 建立警示動作時未驗證信任 ID 是否屬於使用者進而允許經驗證知道信任 ID 的遠端使用者其中 Aodh 是受信任者可取得 Keystone 權杖並執行不明經驗證的動作方法為新增具有配置 trust+http 的警示動作並提供信任 id (其中 Aodh 是受信任者)。 (CVE-2017-12440)

請注意，Nessus 依賴供應商報告的套件存在。

Red Hat 的 Zane Bitter 在 OpenStack 的警报引擎 Aodh 中发现一个漏洞。Aodh 未验证创建警报的用户是否是信任者或与信任者具有相同的权限，也未验证信任针对的项目是否与警报相同。此错误允许没有 Keystone 令牌但知道信任 ID 的经身份验证用户通过添加警报操作来执行不明的经身份验证操作。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - change-ID I8fd11a7f9fe3c0ea5f9843a89686ac06713b7851 之前的 Openstack Ocata 和 Newton 中打包的 Aodh 以及 Pike-rc1 之前的 中打包的 Aodh 在使用 trust+http 方案创建警报操作时未验证属于该用户的信任 ID从而允许知道信任 ID 的经认证用户远程访问其中 Aodh 为受信任方获取 Keystone 标记并通过添加具有 trust+http 方案的警报操作并提供信任 ID其中 Aodh 为受信任方获取 Keystone 标记和执行不明的认证操作。 (CVE-2017-12440)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2018:0315 公告中提及的弱點影響。

  - openstack-aodh：Aodh 可用於清洗 Keystone 信任 (CVE-2017-12440)

請注意，Nessus 並未測試此問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2018:0315 公告中提及的一个漏洞影响。

  - openstack-aodh：Aodh 可用于保护 Keystone 信任程序 (CVE-2017-12440)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2017:3227 公告中提及的弱點影響。

  - openstack-aodh：Aodh 可用於清洗 Keystone 信任 (CVE-2017-12440)

請注意，Nessus 並未測試此問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2017:3227 公告中提及的一个漏洞影响。

  - openstack-aodh：Aodh 可用于保护 Keystone 信任程序 (CVE-2017-12440)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Red HatのZane Bitter氏は、OpenStack用アラームエンジンであるAodhに脆弱性を発見しました。Aodhは、アラームを作成しているユーザーがトラスターであるか、トラスターと同じ権限を持っていることを検証したり、トラストがアラームと同じプロジェクトに対するものであることを検証しません。このバグにより、トラストIDを知っているKeystoneトークンを持たない認証されたユーザーが、アラームアクションを追加することで、詳細不明な認証されたアクションを実行することができます。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - change-ID I8fd11a7f9fe3c0ea5f9843a89686ac06713b7851 および Pike-rc1 より前の Openstack Ocata および Newton でパッケージ化された Aodh は、スキーム trust+http でアラームアクションを作成する際に、信頼 ID がユーザーに属していることを検証しません。これにより、認証されたリモートユーザーが、信頼 ID を知ることができます。ここで、Aodh は、Keystone トークンを取得し、スキーム trust+http でアラームアクションを追加し、Aodh がトラスティであるトラスト ID を提供することで、詳細不明な認証アクションを実行するトラスティです。CVE-2017-12440

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:0315 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - openstack-aodh: Aodh を使用して、Keystone 信頼をロンダリングできます (CVE-2017-12440)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2017:3227 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - openstack-aodh: Aodh を使用して、Keystone 信頼をロンダリングできます (CVE-2017-12440)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Aodh as packaged in Openstack Ocata and Newton before change-ID I8fd11a7f9fe3c0ea5f9843a89686ac06713b7851     and before Pike-rc1 does not verify that trust IDs belong to the user when creating alarm action with the     scheme trust+http, which allows remote authenticated users with knowledge of trust IDs where Aodh is the     trustee to obtain a Keystone token and perform unspecified authenticated actions by adding an alarm action     with the scheme trust+http, and providing a trust id where Aodh is the trustee. (CVE-2017-12440)

Note that Nessus relies on the presence of the package as reported by the vendor.

Zane Bitter from Red Hat discovered a vulnerability in Aodh, the alarm engine for OpenStack. Aodh does not verify that the user creating the alarm is the trustor or has the same rights as the trustor, nor that the trust is for the same project as the alarm. The bug allows that an authenticated user without a Keystone token with knowledge of trust IDs to perform unspecified authenticated actions by adding alarm actions.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2018:0315 advisory.

    openstack-aodh provides the ability to trigger actions based on defined rules against metric or event data     collected by OpenStack Telemetry (ceilometer) or Time-Series-Database-as-a-Service (gnocchi).

    openstack-aodh has been rebased to the upstream 4.0.2-3 version.

    Security Fix(es):

    * A verification flaw was found in openstack-aodh. As part of an HTTP alarm action, a user could pass in a     trust ID. However, the trust could be from anyone because it was not verified. Because the trust was then     used by openstack-aodh to obtain a keystone token for the alarm action, a malicious user could pass in     another person's trust ID and obtain a keystone token containing the delegated authority of that user.
    (CVE-2017-12440)

    Red Hat would like to thank the OpenStack project for reporting this issue. Upstream acknowledges Zane     Bitter (Red Hat) as the original reporter.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2017:3227 advisory.

    openstack-aodh provides the ability to trigger actions based on defined rules against metric or event data     collected by OpenStack Telemetry (ceilometer) or Time-Series-Database-as-a-Service (gnocchi).

    Security Fix(es):

    * A verification flaw was found in openstack-aodh. As part of an HTTP alarm action, a user could pass in a     trust ID. However, the trust could be from anyone because it was not verified. Because the trust was then     used by openstack-aodh to obtain a keystone token for the alarm action, a malicious user could pass in     another person's trust ID and obtain a keystone token containing the delegated authority of that user.
    (CVE-2017-12440)

    This issue was discovered by Luke Hinds (Red Hat). Upstream acknowledges Zane Bitter (Red Hat) as the     original reporter.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
433723	SCA: security update for aodh (GHSA-86cv-9gpx-6hwj)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/19	2026/7/2	high
433723	SCA: security update for aodh (GHSA-86cv-9gpx-6hwj)	Tenable Cloud Security	SCA Checks	2025/8/19	2026/7/2	high
102715	Debian DSA-3953-1：aodh - 安全性更新	Nessus	Debian Local Security Checks	2017/8/24	2025/11/26	high
251434	Linux Distros 未修補的弱點：CVE-2017-12440	Nessus	Misc.	2025/8/18	2025/8/18	high
102715	Debian DSA-3953-1：aodh - 安全更新	Nessus	Debian Local Security Checks	2017/8/24	2025/11/26	high
251434	Linux Distros 未修补的漏洞：CVE-2017-12440	Nessus	Misc.	2025/8/18	2025/8/18	high
194124	RHEL 7：openstack-aodh (RHSA-2018:0315)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/2/19	high
194124	RHEL 7：openstack-aodh (RHSA-2018:0315)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/2/19	high
194047	RHEL 7：openstack-aodh (RHSA-2017:3227)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/2/19	high
194047	RHEL 7 : openstack-aodh (RHSA-2017:3227)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/2/19	high
102715	DebianDSA-3953-1：aodh - セキュリティ更新	Nessus	Debian Local Security Checks	2017/8/24	2025/11/26	high
251434	Linux Distros のパッチ未適用の脆弱性: CVE-2017-12440	Nessus	Misc.	2025/8/18	2025/8/18	high
194124	RHEL 7 : openstack-aodh (RHSA-2018:0315)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/2/19	high
194047	RHEL 7 : openstack-aodh (RHSA-2017:3227)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/2/19	high
251434	Linux Distros Unpatched Vulnerability : CVE-2017-12440	Nessus	Misc.	2025/8/18	2025/8/18	high
102715	Debian DSA-3953-1 : aodh - security update	Nessus	Debian Local Security Checks	2017/8/24	2025/11/26	high
194124	RHEL 7 : openstack-aodh (RHSA-2018:0315)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/2/19	high
194047	RHEL 7 : openstack-aodh (RHSA-2017:3227)	Nessus	Red Hat Local Security Checks	2024/4/27	2025/2/19	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high