CVE-2013-2167

Pominięcie podpisu middleware memcache w python-keystoneclient

CVSS 9.8v3.1pub. 2019-12-10upd. 2024-11-21

python-keystoneclient w wersjach 0.2.3 do 0.2.5 zawiera podatność umożliwiającą ominięcie weryfikacji podpisu middleware memcache. Jest to krytyczna luka, ponieważ pozwala nieuwierzytelnionemu atakującemu sieciowemu na naruszenie integralności, poufności i dostępności systemu.

▸ Pokaż oryginał (EN)

python-keystoneclient version 0.2.3 to 0.2.5 has middleware memcache signing bypass

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej weryfikacji (CWE-345 — Insufficient Verification of Data Authenticity) podpisów stosowanych przez middleware memcache w komponencie python-keystoneclient. Atakujący może ominąć mechanizm podpisywania tokenów lub danych przechowywanych w pamięci podręcznej memcache, co umożliwia manipulację danymi bez wykrycia przez system uwierzytelniania. Atak można przeprowadzić zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do chronionych zasobów, manipulować danymi uwierzytelniania przechowywanymi w memcache oraz potencjalnie przejąć kontrolę nad usługami OpenStack korzystającymi z dotkniętego komponentu.

Mitygacja

Należy zaktualizować python-keystoneclient do wersji powyżej 0.2.5. Dostępne są poprawki producenta opisane w erracie Red Hat RHSA-2013-0992 oraz w komunikatach dystrybucyjnych Fedora i Debian. Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

python-keystoneclient w wersjach 0.2.3, 0.2.4 oraz 0.2.5; powiązane dystrybucje: Red Hat OpenStack, Debian Linux

Uwagi

Podatność została opublikowana w bazie NVD w 2019 roku, jednak zgodnie z referencjami (oss-security, Red Hat errata) problem był znany i łatany już w czerwcu–lipcu 2013 roku.