Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-00933

Опубликовано: 18 янв. 2023
Источник: fstec
CVSS3: 7.7
CVSS2: 6.8
EPSS Низкий

Описание

Уязвимость компонента swift/common/middleware/s3api/etree.py интерфейса S3 API распределенной системы хранения объектов Swift связана с использованием файлов и каталогов, доступных внешним сторонам. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ на чтение произвольных файлов

Вендор

Red Hat Inc.
The OpenStack project

Наименование ПО

Red Hat OpenStack Platform
Red Hat Storage
Swift

Версия ПО

13.0 (Queens) (Red Hat OpenStack Platform)
3 (Red Hat Storage)
16.2 (Red Hat OpenStack Platform)
до 2.28.1 (Swift)
от 2.29.0 до 2.29.2 (Swift)
2.30.0 (Swift)
17.0 (Red Hat OpenStack Platform)

Тип ПО

ПО программно-аппаратного средства
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Swift:
https://bugs.launchpad.net/swift/+bug/1998625
https://bugs.launchpad.net/swift/+bug/1998625/comments/13
Для продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-47950

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 40%
0.00181
Низкий

7.7 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.5
ubuntu
почти 3 года назад

An issue was discovered in OpenStack Swift before 2.28.1, 2.29.x before 2.29.2, and 2.30.0. By supplying crafted XML files, an authenticated user may coerce the S3 API into returning arbitrary file contents from the host server, resulting in unauthorized read access to potentially sensitive data. This impacts both s3api deployments (Rocky or later), and swift3 deployments (Queens and earlier, no longer actively developed).

CVSS3: 7.7
redhat
почти 3 года назад

An issue was discovered in OpenStack Swift before 2.28.1, 2.29.x before 2.29.2, and 2.30.0. By supplying crafted XML files, an authenticated user may coerce the S3 API into returning arbitrary file contents from the host server, resulting in unauthorized read access to potentially sensitive data. This impacts both s3api deployments (Rocky or later), and swift3 deployments (Queens and earlier, no longer actively developed).

CVSS3: 6.5
nvd
почти 3 года назад

An issue was discovered in OpenStack Swift before 2.28.1, 2.29.x before 2.29.2, and 2.30.0. By supplying crafted XML files, an authenticated user may coerce the S3 API into returning arbitrary file contents from the host server, resulting in unauthorized read access to potentially sensitive data. This impacts both s3api deployments (Rocky or later), and swift3 deployments (Queens and earlier, no longer actively developed).

CVSS3: 6.5
debian
почти 3 года назад

An issue was discovered in OpenStack Swift before 2.28.1, 2.29.x befor ...

CVSS3: 6.5
github
почти 3 года назад

OpenStack Swift XML external entities (XXE) Injection

EPSS

Процентиль: 40%
0.00181
Низкий

7.7 High

CVSS3

6.8 Medium

CVSS2