Vulnerabilidad en /v3/credentials en la función enforce_scope en la API de credenciales de lista en OpenStack Keystone (CVE-2019-19687)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-522 Credenciales insuficientemente protegidas

Fecha de publicación:

09/12/2019

Última modificación:

20/12/2019

Descripción

OpenStack Keystone versiones 15.0.0 y 16.0.0, está afectado por un Filtrado de Datos en la API de credenciales de lista. Cualquier usuario con un rol en un proyecto es capaz de enumerar cualquier credencial con la API de /v3/credentials cuando la función enforce_scope es falsa. Los usuarios con un rol en un proyecto pueden visualizar las credenciales de cualquier otro usuario, lo que podría (por ejemplo) filtrar información de inicio de sesión de Time-based One Time Passwords (TOTP). Las implementaciones con la función enforce_scope establecida en false están afectadas. (Habrá un ligero impacto en el rendimiento de la API de credenciales de lista una vez que este problema sea corregido).

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.80

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:M/Au:S/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.50 BAJA
Vector: AV:N/AC:M/Au:S/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno