NVD Vulnerability Detail

CVE-2014-2828

Summary	The V3 API in OpenStack Identity (Keystone) 2013.1 before 2013.2.4 and icehouse before icehouse-rc2 allows remote attackers to cause a denial of service (CPU consumption) via a large number of the same authentication method in a request, aka "authentication chaining."
Publication Date	April 15, 2014, 11:55 p.m.
Registration Date	Jan. 26, 2021, 3:09 p.m.
Last Update	Nov. 21, 2024, 11:07 a.m.

Affected software configurations

Related information, measures and tools

No	URL	refsource	タグ
1	http://rhn.redhat.com/errata/RHSA-2014-1688.html
2	http://rhn.redhat.com/errata/RHSA-2014-1688.html
3	http://www.openwall.com/lists/oss-security/2014/04/10/20
4	http://www.openwall.com/lists/oss-security/2014/04/10/20
5	https://bugs.launchpad.net/keystone/+bug/1300274
6	https://bugs.launchpad.net/keystone/+bug/1300274

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-287	不適切な認証	https://cwe.mitre.org/data/definitions/287.html

JVN Vulnerability Information

OpenStack Identity の V3 API におけるサービス運用妨害 (DoS) の脆弱性

Title	OpenStack Identity の V3 API におけるサービス運用妨害 (DoS) の脆弱性
Summary	OpenStack Identity (Keystone) の V3 API には、サービス運用妨害 (CPU 資源の消費) 状態にされる脆弱性が存在します。
Possible impacts	第三者により、一つのリクエスト内の大量の同一の認証メソッド、別名 "認証連鎖 (authentication chaining)" を介して、サービス運用妨害 (CPU 資源の消費) 状態にされる可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	April 3, 2014, midnight
Registration Date	April 18, 2014, 3:21 p.m.
Last Update	Dec. 2, 2015, 3:45 p.m.

Affected System

OpenStack

Openstack Keystone 2013.2.4 未満の 2013.1

Openstack Keystone icehouse-rc2 未満の icehouse

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2014-2828	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-2828
National Vulnerability Database (NVD)
2	CVE-2014-2828	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2828
SECURITY BLOG
3	CVE-2014-2828 Authentication Issues vulnerability in OpenStack Identity (Keystone)	https://blogs.oracle.com/sunsecurity/entry/cve_2014_2828_authentication_issues

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-287	https://jvndb.jvn.jp/ja/cwe/CWE-287.html

ベンダー情報

No	Name	URL
Launchpad
1	Bug #1300274	https://launchpad.net/bugs/1300274
Red Hat Security Advisory
2	RHSA-2014:1688	http://rhn.redhat.com/errata/RHSA-2014-1688.html

その他

No	Name	URL
関連文書
1	[oss-security] 20140410 [OSSA 2014-013] Keystone DoS through V3 API authentication chaining (CVE-2014-2828)	http://www.openwall.com/lists/oss-security/2014/04/10/20

Change Log

No	Changed Details	Date of change
0	[2014年04月18日] 掲載 [2014年08月11日] ベンダ情報：オラクル (CVE-2014-2828 Authentication Issues vulnerability in OpenStack Identity (Keystone)) を追加 [2014年11月21日] ベンダ情報：レッドハット (RHSA-2014:1688) を追加 [2015年12月02日] CVSS による深刻度：内容を更新	Feb. 17, 2018, 10:37 a.m.