OpenStack Keystone python-keystoneclient PKI 令牌验证安全绕过漏洞

基本信息

漏洞ID：1167636
漏洞类型：权限许可和访问控制
发布日期：2013-05-28
更新时间：2015-04-13
CVE编号： CVE-2013-2104
CNNVD-ID：CNNVD-201305-613
漏洞平台： N/A
CVSS评分：5.5

漏洞来源

<a href="https://www.securityfocus.com/bid/60193" target="_blank">https://www.securityfocus.com/bid/60193</a><br/> <a href="https://cxsecurity.com/issue/WLB-2013050203" target="_blank">https://cxsecurity.com/issue/WLB-2013050203</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201305-613" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201305-613</a><br/>

漏洞详情

OpenStackKeystone是美国国家航空航天局（NationalAeronauticsandSpaceAdministration）和美国Rackspace公司合作研发的一个用于身份验证的项目，提供身份、令牌、目录和策略服务。python-keystoneclient是其中的一个客户端。OpenStackKeystone(Folsom)中使用的python-keystoneclient0.2.3及之前版本中存在安全漏洞，该漏洞源于程序没有正确检查PKI令牌是否失效。远程认证攻击者可利用该漏洞保留已过期令牌的使用，或继续使用已过期撤销的令牌。

参考资料

来源:bugs.launchpad.net
链接:https://bugs.launchpad.net/python-keystoneclient/+bug/1179615
来源:UBUNTU
名称:USN-1875-1
链接:http://www.ubuntu.com/usn/USN-1875-1
来源:UBUNTU
名称:USN-1851-1
链接:http://www.ubuntu.com/usn/USN-1851-1
来源:MLIST
名称:[oss-security]20130528[OSSA2013-014]MissingexpirationcheckinKeystonePKItokensvalidation(CVE-2013-2104)
链接:http://www.openwall.com/lists/oss-security/2013/05/28/7
来源:REDHAT
名称:RHSA-2013:0944
链接:http://rhn.redhat.com/errata/RHSA-2013-0944.html
来源:SUSE
名称:openSUSE-SU-2013:1089
链接:http://lists.opensuse.org/opensuse-updates/2013-06/msg00198.html
来源:BID
名称:60193
链接:http://www.securityfocus.com/bid/60193