Media

OpenStack Nova uses insecure keystone middleware tmpdir by default

Publicada: 17.05.2022
Actualizado: 11.10.2026 13:18

keystone/middleware/auth_token.py in OpenStack Nova Folsom, Grizzly, and Havana uses an insecure temporary directory for storing signing certificates, which allows local users to spoof servers by pre-creating this directory, which is reused by Nova, as demonstrated using /tmp/keystone-signing-nova on Fedora.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	python-keystoneclient	< 0.2.4	0.2.4

Referencias

Puntuación CVSS 4.3/10

Vector CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N
Debilidad (CWE): CWE-1188
Plataforma: Python (PyPI)
Paquete: python-keystoneclient
Publicada: 17.05.2022
Actualizado: 11.10.2026 13:18

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-911 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-pxxv-rv32-2qgv - CC BY 4.0

Historial de vulnerabilidades: python-keystoneclient

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (9) en el archivo

Entradas en total: 9
Primera → última: 10.2013 05.2022
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 2
Alta 3
Media 2
Baja 2

Divulgaciones por año

2017: 0
2018: 0
2019: 2
2020: 0
2021: 0
2022: 2
2023: 0
2024: 0
2025: 0
2026: 0

antes: 5

17.05.2022

OpenStack Nova uses insecure keystone middleware tmpdir by default esta entrada

Media · 4.3 CVE-2013-2030 < 0.2.4 0.2.4
10.12.2019

Insufficient Verification of Data Authenticity in python-keystoneclient

Crítica · 9.8 CVE-2013-2167 >= 0.2.3, < 0.3.0 0.3.0
10.12.2019

Inadequate Encryption Strength in python-keystoneclient

Crítica · 9.8 CVE-2013-2166 >= 0.2.3, < 0.3.0 0.3.0
17.04.2015

The s3_token middleware in OpenStack keystonemiddleware before 1.6.0 and python-keystoneclient before 1.4.0 disables certification verification when the "insecure" option is set in a paste configurati

Alta · 7.5 CVE-2015-1852 < 1.4.0 1.4.0
02.10.2014

OpenStack keystonemiddleware (formerly python-keystoneclient) 0.x before 0.11.0 and 1.x before 1.2.0 disables certification verification when the "insecure" option is set in a paste configuration (pas

Alta · 5.9 CVE-2014-7144 < 0.11.0, >= 1.0, < 1.2.0 0.11.0, 1.2.0
21.01.2014

python-keystoneclient before 0.2.4, as used in OpenStack Keystone (Folsom), does not properly check expiry for PKI tokens, which allows remote authenticated users to (1) retain use of a token after it

Alta · 7.5 CVE-2013-2104 < 0.2.4 0.2.4

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación