阿里云漏洞库

漏洞描述

Glance提供restful API可以查询虚拟机镜像的metadata,并且可以获得镜像。Openstack Glance v2 API存在一个安全漏洞，允许远程通过验证的用户利用映像删除请求删除任意没有保护的映像，此漏洞是由于不完全修复CVE-2012-4573漏洞引起的。

解决建议

用户可参考如下厂商提供的安全公告获得补丁信息：https://github.com/openstack/glance/commit/6ab0992e5472ae3f9bef0d2ced41030655d9d2bchttps://github.com/openstack/glance/commit/b591304b8980d8aca8fa6cda9ea1621aca000c882012.2 (Folsom):https://github.com/openstack/glance/commit/90bcdc5a89e350a358cf320a03f5afe99795f6f6https://github.com/openstack/glance/commit/fc0ee7623ec59c87ac6fc671e95a9798d6f2e2c32012.1 (Essex):https://github.com/openstack/glance/commit/efd7e75b1f419a52c7103c7840e24af8e5deb29d

参考链接
http://lists.fedoraproject.org/pipermail/package-announce/2012-November/092192.html
http://lists.opensuse.org/opensuse-security-announce/2012-11/msg00002.html
http://osvdb.org/87248
http://secunia.com/advisories/51174
http://www.openwall.com/lists/oss-security/2012/11/07/6
http://www.openwall.com/lists/oss-security/2012/11/08/2
http://www.openwall.com/lists/oss-security/2012/11/09/1
http://www.openwall.com/lists/oss-security/2012/11/09/5
http://www.securityfocus.com/bid/56437
https://bugs.launchpad.net/glance/+bug/1076506
https://exchange.xforce.ibmcloud.com/vulnerabilities/80019
https://github.com/openstack/glance/commit/b591304b8980d8aca8fa6cda9ea1621aca000c88
https://github.com/openstack/glance/commit/fc0ee7623ec59c87ac6fc671e95a9798d6f2e2c3

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	openstack	essex	2012.1	-
	运行在以下环境
	应用	openstack	folsom	2012.2	-
	运行在以下环境
	应用	openstack	image_registry_and_delivery_service_(glance)	-	-
	运行在以下环境
	系统	debian_10	glance	*		Up to (excluding) 2012.1.1-3
	运行在以下环境
	系统	debian_11	glance	*		Up to (excluding) 2012.1.1-3
	运行在以下环境
	系统	debian_12	glance	*		Up to (excluding) 2012.1.1-3
	运行在以下环境
	系统	fedora_EPEL_6	openstack-nova-novncproxy	*		Up to (excluding) 0.4-2.el6

攻击路径

远程
攻击复杂度

容易
权限要求

普通权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

传输被破坏
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-264	权限、特权和访问控制

低危 OpenStack Glance任意映像删除漏洞

漏洞描述

解决建议

参考链接

受影响软件情况