OpenStack Dashboard の Identity v3 API におけるユーザのパスワードを変更される脆弱性
| Title |
OpenStack Dashboard の Identity v3 API におけるユーザのパスワードを変更される脆弱性
|
| Summary |
OpenStack Dashboard (Horizon) の Identity v3 API は、ユーザアカウントのパスワードを変更する際、現在のパスワードを必要としないため、ユーザのパスワードを変更される脆弱性が存在します。
|
| Possible impacts |
第三者により、当該ユーザの認証トークンを利用されることで、ユーザのパスワードを変更される可能性があります。 |
| Solution |
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
Nov. 22, 2013, midnight |
| Registration Date |
May 19, 2014, 12:03 p.m. |
| Last Update |
May 19, 2014, 12:03 p.m. |
|
CVSS2.0 : 警告
|
| Score |
5
|
| Vector |
AV:N/AC:L/Au:N/C:N/I:P/A:N |
Affected System
| OpenStack |
|
OpenStack Horizon 2013.2 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 0 |
[2014年05月19日]
掲載 |
Feb. 17, 2018, 10:37 a.m. |
NVD Vulnerability Information
CVE-2013-4471
| Summary |
The Identity v3 API in OpenStack Dashboard (Horizon) before 2013.2 does not require the current password when changing passwords for user accounts, which makes it easier for remote attackers to change a user password by leveraging the authentication token for that user.
|
| Publication Date |
May 15, 2014, 4:55 a.m. |
| Registration Date |
Jan. 26, 2021, 3:43 p.m. |
| Last Update |
Nov. 21, 2024, 10:55 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:openstack:horizon:*:*:*:*:*:*:*:* |
2013.1 |
|
|
2013.2 |
Related information, measures and tools
Common Vulnerabilities List