发布日期：2013-10-29
更新日期：2013-10-30

受影响系统：

openstack Keystone

描述：

---

BUGTRAQ  ID: 63395
CVE(CAN) ID: CVE-2013-4477

OpenStack Keystone为OpenStack系列计划提供身份、令牌、目录和策略服务的项目。

Keystone (Grizzly及Havana) LDAP后端的角色转变代码存在安全漏洞，如果删除了一个用户的某个角色，那么事实上该用户会被赋予该角色。攻击者可利用此漏洞获取额外的角色。

<*来源：IBM OpenStack test team
  
  链接：https://bugzilla.redhat.com/show_bug.cgi?id=1024401
*>

建议：

---

厂商补丁：

openstack
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://lists.openstack.org/pipermail/openstack-announce/

Grizzly fix：

https://github.com/openstack/keystone/commit/82dcde08f60c45002955875664a3cf82d1d211bc

Havana fix：

https://github.com/openstack/keystone/commit/4221b6020e6b0b42325d8904d7b8a22577a6acc0

浏览次数：2763
严重程度：0（网友投票）