Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Image Registry and Delivery Service (Glance) <= 2015.1.1 Betroffene Plattformen: Red Hat Fedora 23 Mehrere Schwachstellen in OpenStack Glance vor Version 2015.1.2 ermöglichen einem entfernten, zumeist authentifizierten Angreifer das Ausspähen von Informationen, das Manipulieren von Dateien und die Durchführung von Denial-of-Service-Angriffen. Für Fedora 23 steht ein Sicherheitsupdate in Form eines Updates auf die Openstack Glace Version 2015.1.2 zur Verfügung. Patch: Fedora Security Update FEDORA-2015-66439aa9e2 (Fedora 23) https://bodhi.fedoraproject.org/updates/FEDORA-2015-66439aa9e2
Patch:
OpenStack Security Advisory OSSA-2015-014
https://security.openstack.org/ossa/OSSA-2015-014.html
Patch:
OpenStack Security Advisory OSSA-2015-019
https://security.openstack.org/ossa/OSSA-2015-019.html
Patch:
OpenStack Security Advisory OSSA-2015-020
https://security.openstack.org/ossa/OSSA-2015-020.html
CVE-2015-5163: Schwachstelle in OpenStack Glance ermöglicht das Ausspähen
von Informationen
Eine Schwachstelle in OpenStack Image Service (Glance) 2015.1.x vor Version
2015.1.2 existiert in der Import Task Action unter Verwendung der V2 API. Es
ist möglich, Abbilder mit bestimmten Dateien (backed files) zu importieren
und diese dann während des Gebrauchs/der Konvertierung für den Zugriff auf
beliebige Dateien im System zu missbrauchen.
CVE-2015-5286: Schwachstelle in ‘openstack-glance’ erlaubt Denial-of-Service
In ‘openstack-glance’ existiert eine Schwachstelle bezüglich der
Image-Verwaltung. Ein Angreifer kann diese Schwachstelle ausnutzen, indem er
Images löscht, die unter Verwendung eines in Kürze ablaufenden Tokens
hochgeladen wurden. Hierdurch kann er die Speicherquote überschreiten und
nicht nachverfolgte Image-Daten im Backend ansammeln, wodurch der verfügbare
Plattenspeicher vollständig ausgeschöpft werden kann. Von der Schwachstelle
betroffen sind alle Glance-Setups, welche die V1 API verwenden, sowie all
Setups, welche die V2 API mit ‘registry db_api’ aktiviert verwenden. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen.
CVE-2015-5251: Schwachstelle in ‘openstack-glance’ erlaubt Manipulation von
Dateien
In ‘openstack-glance’ existiert eine Schwachstelle, die eine illegale
Modifikation des Image-Status zulässt. Ein Angreifer kann diese
Schwachstelle ausnutzen, indem er HTTP PUT Requests mit einem
‘x-image-meta-status’ Header sendet. Hierdurch ist es ihm möglich,
deaktivierte Images zu reaktivieren, die Speicherquote zu umgehen und in
einigen Fällen Image-Inhalte auszutauschen. Setups, welche die Glance v1 API
verwenden, erlauben die illegale Veränderung des Image-Status. Setups,
welche die Glance v2 API verwenden, erlauben den nachfolgenden, erneuten
Upload von Image-Inhalten. Ein entfernter, einfach authentisierter Angreifer
kann diese Schwachstelle ausnutzen, um Dateien zu manipulieren.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1618/
Schwachstelle CVE-2015-5163 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5163
Schwachstelle CVE-2015-5251 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5251
Schwachstelle CVE-2015-5286 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5286
Fedora Security Update FEDORA-2015-66439aa9e2 (Fedora 23) :
https://bodhi.fedoraproject.org/updates/FEDORA-2015-66439aa9e2
OpenStack Security Advisory OSSA-2015-014:
https://security.openstack.org/ossa/OSSA-2015-014.html
OpenStack Security Advisory OSSA-2015-019:
https://security.openstack.org/ossa/OSSA-2015-019.html
OpenStack Security Advisory OSSA-2015-020:
https://security.openstack.org/ossa/OSSA-2015-020.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
