Bulletin d'alerte Debian

DSA-4679-1 keystone -- Mise à jour de sécurité

Date du rapport :
6 mai 2020
Paquets concernés :
keystone
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 959900.
Plus de précisions :

Une vulnérabilité a été découverte dans l'API d'identité d'EC2 de Keystone, le service d'identité d'OpenStack : tout utilisateur avec une authentification à portée limitée (identité trust, oauth ou application) pourrait créer une identité EC2 avec une élévation de privilèges, telle que l'obtention du rôle d'admin alors que l'utilisateur est limité à un rôle de viewer.

Pour la distribution stable (Buster), ce problème a été corrigé dans la version 2:14.2.0-0+deb10u1.

Nous vous recommandons de mettre à jour vos paquets keystone.

Pour disposer d'un état détaillé sur la sécurité de keystone, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/keystone.