CVE-2020-10755
Açıklama
openstack-cinder 14.1.0 öncesindeki tüm sürümlerde, openstack-cinder 15.2.0 öncesindeki tüm openstack-cinder 15.x.x sürümlerinde ve openstack-cinder 16.1.0 öncesindeki tüm openstack-cinder 16.x.x sürümlerinde güvensiz kimlik bilgileri hatası bulundu. openstack-cinder, Dell EMC ScaleIO veya VxFlex OS arka uç depolama sürücüsü ile kullanıldığında, bu öğeyi içeren tüm Block Storage v3 Attachments API çağrılarındaki ``connection_info`` öğesinde tüm arka uca ait kimlik bilgileri ifşa edilmektedir. Bu hata, bir son kullanıcının bir birim oluşturmasına, ekleme detay bilgilerini görüntülemek için bir API çağrısı yapmasına ve başka bir kullanıcının birimine bağlanmak için kullanılabilecek bir kullanıcı adı ve şifre elde etmesine olanak tanır. Ek olarak, bir saldırganın Management API uç noktasını keşfetmesi durumunda, bu kimlik bilgileri ScaleIO veya VxFlex OS Management API için de geçerlidir. Kaynak: OpenStack projesi
Nasıl düzeltilir
- redhat openstack-cinder14.1.0, 15.2.0, 16.1.0 ya da sonraki bir sürüm
- cinder14.1.0, 15.2.0, 16.1.0 ya da sonraki bir sürüm
- os-brick2.8.6, 2.10.4, 3.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat openstack-cinder | v < 14.1.0, 15.0.0 ≤ v < 15.2.0, 16.0.0 ≤ v < 16.1.0 | 14.1.0, 15.2.0, 16.1.0 |
| canonical ubuntu_linux | 18.04, 20.04 | — |
| cinderPyPI | 14.0.0 ≤ v < 14.1.0, 15.0.0 ≤ v < 15.2.0, 16.0.0 ≤ v < 16.1.0, v < 14.1.0 | 14.1.0, 15.2.0, 16.1.0 |
| os-brickPyPI | 2.8.0 ≤ v < 2.8.6, 2.10.0 ≤ v < 2.10.4, 3.0.0 ≤ v < 3.0.2 | 2.8.6, 2.10.4, 3.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.