OpenStack Compute (Nova)不完全修复拒绝服务漏洞

CVE编号

CVE-2013-4469

利用情况

暂无

补丁情况

官方补丁

披露时间

2013-11-03

漏洞描述

OpenStack是由Rackspace和NASA共同开发的云计算平台，帮助服务商和企业内部实现类似于Amazon EC2和S3的云基础架构。OpenStack Nova提供虚拟计算服务。
OpenStack Compute (Nova)不完全修复CVE-2013-2096漏洞在非默认情况下use_cow_images=False的配置下，恶意qcow映像可仍旧消耗每个实例中的磁盘空间，可导致拒绝服务攻击。

解决建议

用户可参考如下厂商提供的安全补丁以修复该漏洞：
Icehouse (development branch) fix:
https://review.openstack.org/54765
Havana fix:
https://review.openstack.org/54767
Grizzly fix:
https://review.openstack.org/54768

参考链接
http://www.openwall.com/lists/oss-security/2013/10/31/3
http://www.ubuntu.com/usn/USN-2247-1
https://bugs.launchpad.net/nova/+bug/1206081

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	openstack	folsom	-	-
	运行在以下环境
	应用	openstack	grizzly	-	-
	运行在以下环境
	应用	openstack	havana	-	-
	运行在以下环境
	系统	ubuntu_12.04_lts	nova	*		Up to (excluding) 2012.1.3+stable-20130423-e52e6912-0ubuntu1.4
	运行在以下环境
	系统	ubuntu_14.04_lts	nova	*		Up to (excluding) 1:2014.1~b1-0ubuntu2

阿里云评分 2.3

• 攻击路径 本地
• 攻击复杂度 困难
• 权限要求 普通权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 -

CWE-ID 漏洞类型 CWE-399 资源管理错误