Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Red Hat Enterprise Linux OpenStack 7
Betroffene Plattformen:
Red Hat Enterprise Linux 7
Eine Schwachstelle in OpenStack ermöglicht einem nicht authentifizierten
Angreifer im benachbarten Netzwerk das Umgehen von Sicherheitsvorkehrungen.
Eine weitere Schwachstelle ermöglicht einem entfernten, nicht
authentifizierten Angreifer Informationen auszuspähen.
Für Red Hat OpenStack 7 stehen Sicherheitsupdates zur Verfügung.
Patch:
Red Hat Security Advisory RHSA-2015:2650
https://access.redhat.com/errata/RHSA-2015:2650
CVE-2015-5329: Schwachstelle in OpenStack ermöglicht Umgehen von
Sicherheitsvorkehrungen
Es existiert eine Schwachstelle im OpenStack 7 Director, da die RabbitMQ
Anmeldedaten auf “guest/guest” vorkonfiguriert sind und andere Werte aus der
Konfiguration schlicht missachtet werden. In Folge dessen werden in allen
installierten Overclouds die gleichen Anmeldedaten (guest/guest) verwendet.
Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann
Sicherheitsvorkehrungen umgehen und auf RabbitMQ-Dienste in der Cloud
zugreifen.
CVE-2015-5303: Schwachstelle in OpenStack ermöglicht Ausspähen von
Informationen
Es existiert eine Schwachstelle im OpenStack Director, weil der Parameter
‘NeutronMetadataProxySharedSecret’ im Standardzustand nicht gesetzt ist.
Dieser Parameter wird von OpenStack Networking zum Unterschreiben von
Instanz-Headern verwendet. Solange der Parameter ungesetzt ist, ist es
möglich, OpenStack Networking Metadaten-Anfragen zu fälschen. Ein
entfernter, nicht authentifizierter Angreifer kann Informationen ausspähen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1974/
Schwachstelle CVE-2015-5329 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5329
Schwachstelle CVE-2015-5303 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-5303
Red Hat Security Advisory RHSA-2015:2650:
https://access.redhat.com/errata/RHSA-2015:2650
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
