Fixed CVE-2014-0187 'openstack-neutron: security groups bypass through invalid CIDR' Fixed CVE-2014-0187: 'openstack-neutron: security groups bypass through invalid CIDR', bz#1090136 Make neutron-vpn-agent read fwaas_driver.ini

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2014-0187「openstack-neutron：無効な CIDR を通じたセキュリティグループバイパス」を修正 CVE-2014-0187：「openstack-neutron：無効な CIDR を通じたセキュリティグループバイパス」、bz#1090136 neutron-vpn-agent に fwaas_driver.ini を読み取らせます

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

修复了 CVE-2014-0187“openstack-neutron：通过无效 CIDR 绕过安全群组” 修复了 CVE-2014-0187：“openstack-neutron：通过无效 CIDR 绕过安全群组”，bz#1090136 使 neutron-vpn-agent 读取 fwaas_driver.ini

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已修正 CVE-2014-0187「openstack-neutron：透過無效 CIDR 繞過安全性群組」，已修正 CVE-2014-0187「openstack-neutron：透過無效 CIDR 繞過安全性群組」，bz#1090136 使 neutron-vpn-agent 讀取 fwaas_driver.ini。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

The remote Redhat Enterprise Linux 6 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2014:0899 advisory.

    The openstack-neutron packages provide Openstack Networking (neutron), the virtual network service.

    OpenStack Networking (neutron) is a pluggable, scalable, and API-driven system that provisions networking     services to virtual machines. Its main function is to manage connectivity to and from virtual machines.

    It was discovered that an authenticated user could add a security group rule with an invalid CIDR causing     the openvswitch-agent process to fail and prevent further rules from being applied. (CVE-2014-0187)

    It was discovered that an authenticated user could add an IPv6 private subnet to an L3 router causing     L3-agent to break in a way that prevents further IPv4 addresses from being attached. Removal of the faulty     network can only be done directly at the database level. Only Neutron setups using IPv6 and L3-agent are     affected by this issue. (CVE-2014-4167)

    This update also fixes several bugs and adds enhancements:

    * Previously, running 'cloud-init' resulted in each instance sending requests to the metadata agent, which     in turn queried Networking server.
    Consequently, booting multiple concurrent instances resulted in metadata agent queries producing heavy     load for 'neutron-server'.
    This update addresses this issue by implementing a short lifetime cache for the metadata agent. Metadata     agent now only queries Networking when data is not present in its cache, with the result of decreased load     on Networking server during 'cloud-init' within instances. (BZ#1101494).

    * With this update, Networking (neutron) packages now update the '/etc/sudoers.d/neutron' file.
    Consequently, any local changes have been relocated to the '/etc/sudoers.d/neutron.rpmsave' file, and will     need to be merged back manually.
    To avoid the need for manual updates in future, please apply local changes in a separate 'sudoers.d' file.
    (BZ#1115406)

    * Previously, Networking would fail to reliably communicate with Qpid. This behavior was due to an     incorrect message subject set in the Qpid layer used by Networking.
    This update addresses this issue by setting a correct subject when sending a Qpid message. As a result,     Networking now works reliably with the new Qpid server. (BZ#1108549)

    All openstack-neutron users are advised to upgrade to these updated packages, which correct these issues     and add these enhancements.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Ubuntu 14.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-2255-1 advisory.

    Darragh O'Reilly discovered that the Ubuntu packaging for OpenStack Neutron did not properly set up its     sudo configuration. If a different flaw was found in OpenStack Neutron, this vulnerability could be used     to escalate privileges. (CVE-2013-6433)

    Stephen Ma and Christoph Thiel discovered that the openvswitch-agent in OpenStack Neutron did not properly     perform input validation when creating security group rules when specifying --remote-ip-prefix. A remote     authenticated attacker could exploit this to prevent application of additional rules. (CVE-2014-0187)

    Thiago Martins discovered that OpenStack Neutron would inappropriately apply SNAT rules to IPv6 subnets     when using the L3-agent. A remote authenticated attacker could exploit this to prevent floating IPv4     addresses from being attached throughout the cloud. (CVE-2014-4167)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:0899 公告中提及的多个漏洞的影响。

    openstack-neutron 程序包提供虚拟网络服务 Openstack Networking (neutron)。

    OpenStack Networking (neutron) 是 API 驱动的可插拔、可扩展系统，用于为虚拟机配置网络服务。其主要功能是管理与虚拟机之间的连接。

    发现经身份验证的用户可添加具有无效 CIDR 的安全群组规则，进而造成 openvswitch-agent 进程失败并阻止应用更多规则。 (CVE-2014-0187)

    已发现如果经过身份验证的用户可将 IPv6 私有子网添加到 L3 路由器，则会造成 L3-agent 以阻止附加更多 IPv4 地址的方式中断。只能直接在数据库级别删除错误网络。此问题仅影响使用 IPv6 和 L3-agent 的 Neutron 设置。 (CVE-2014-4167)

    此更新还修复了多个缺陷并添加了增强：

    * 此前，运行“cloud-init”导致每个实例向元数据代理发送请求，元数据代理反过来查询 Networking 服务器。
    因此，引导多个并发实例导致元数据代理查询对“neutron-server”产生重负载。
    此更新通过实现元数据代理的短生命周期缓存，解决了此问题。现在，当数据不在 Networking 的缓存中时，Metadata 代理仅查询 Networking，从而减少实例中“cloud-init”期间 Networking 服务器的负载。 (BZ#1101494)。

    * 通过此更新，Networking (neutron) 程序包现在会更新“/etc/sudoers.d/neutron”文件。
    因此，任何本地更改都已重新定位到“/etc/sudoers.d/neutron.rpmsave”文件，并且需要手动合并回。
    为避免以后需要手动更新，请应用单独“sudoers.d”文件中的本地更改。
    (BZ#1115406)

    * 以前，网络无法与 Qpid 进行可靠通信。造成此行为的原因是在 Networking 使用的 Qpid 层中设置了不正确的消息主题。
    此更新通过在发送 Qpid 消息时设置一个正确的主题解决了此问题。因此，Networking 现在可以可靠地与新的 Qpid 服务器一起工作。 (BZ#1108549)

    建议所有 openstack-neutron 用户升级到这些更新后的程序包，其中修正了这些问题并添加了这些增强。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Darragh O'Reilly 发现 OpenStack Neutron 的 Ubuntu 打包未正确设置其 sudo 配置。如果在 OpenStack Neutron 中发现了其他缺陷，则可利用此漏洞升级权限。(CVE-2013-6433)

Stephen Ma 和 Christoph Thiel 发现在创建安全组规则期间指定 --remote-ip-prefix 时，OpenStack Neutron 中的 openvswitch-agent 未正确执行输入验证。经过认证的远程攻击者可利用此漏洞阻止采用更多规则。(CVE-2014-0187)

Thiago Martins 发现如果使用 L3-agent，则 OpenStack Neutron 不能将 SNAT 规则正确应用于 IPv6 子网。经过认证的远程攻击者可利用此漏洞阻止通过云附加浮动 IPv4 地址。(CVE-2014-4167)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2014:0899 公告中提及的多個弱點影響。

    openstack-neutron 套件提供虛擬網路服務 Openstack Networking (neutron)。

    OpenStack Networking (neutron) 是一種可插入、可擴充且由 API 驅動的系統，可將網路服務佈建至虛擬機器。其主要功能是管理虛擬機器的來回連線。

    據發現，經驗證的使用者可新增具有無效 CIDR 的安全性群組規則，進而造成 openvswitch-agent 處理程序失敗，並阻止進一步套用規則。 (CVE-2014-0187)

    據發現，經驗證的使用者可將 IPv6 私人子網路新增至 L3 路由器，造成 L3 代理程式中斷，進而防止附加 IPv4 位址。只能在資料庫層級直接移除錯誤網路。只有使用 IPv6 和 L3 代理程式的 Neutron 設定會受到此問題影響。 (CVE-2014-4167)

    此更新也可修正數個錯誤並新增增強功能：

    * 之前，執行「cloud-init」會導致每個執行個體將要求傳送至詮釋資料代理程式，進而查詢 Networking 伺服器。
    因此，啟動多個並行執行個體會導致詮釋資料代理程式查詢造成「neutron-server」負載過重。
    此更新透過為詮釋資料代理程式實作短存留期快取來解決此問題。詮釋資料代理程式現在只會在資料不存在於其快取中時查詢 Networking，其結果是在執行個體中的「cloud-init」期間，Networking 伺服器上的負載降低。 (BZ#1101494)。

    * 透過此更新，Networking (neutron) 套件現在會更新「/etc/sudoers.d/neutron」檔案。
    因此，所有本機變更都已重新定位至 '/etc/sudoers.d/neutron.rpmsave' 檔案，且需要手動合併回來。
    為避免日後需要手動更新，請套用獨立「sudoers.d」檔案中的本機變更。
    (BZ#1115406)

    * 之前，Networking 無法與 Qpid 可靠地通訊。此行為是因為 Networking 使用的 Qpid 層中設定了不正確的訊息主旨。
    此更新透過在傳送 Qpid 訊息時設定正確的主旨來解決此問題。因此，Networking 現可搭配新的 Qpid 伺服器可靠運作。 (BZ#1108549)

    建議所有 openstack-neutron 使用者皆升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Darragh O'Reilly 發現，OpenStack Neutron 的 Ubuntu 封裝並未正確設定其 sudo 組態。若在 OpenStack Neutron 中發現一個不同的瑕疵，便可利用此弱點提升權限。(CVE-2013-6433)

Stephen Ma 和 Christoph Thiel 發現，OpenStack Neutron 中的 openvswitch 代理程式，在指定 --remote-ip-prefix 並建立安全性群組規則時，並未正確執行輸入驗證。經驗證的遠端攻擊者可加以惡意利用，以防止其他規則的應用程式。(CVE-2014-0187)

Thiago Martins 發現，OpenStack Neutron 在使用 L3-agent 時會將 SNAT 規則不當套用至 IPv6 子網路。經驗證的遠端攻擊者可加以惡意利用，以防止浮動 IPv4 位址遭附加而遍佈整個雲端。(CVE-2014-4167)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2014:0899 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    openstack-neutron パッケージは、仮想ネットワークサービスである Openstack Networking (neutron) を提供します。

    OpenStack Networking (neutron) は、仮想マシンにネットワーキングサービスをプロビジョニングする、プラグ可能でスケーラブルな API 駆動型のシステムです。その主な機能は、仮想マシンとの間の接続を管理することです。

    認証されたユーザーが、無効な CIDR を含むセキュリティグループルールを追加すると、openvswitch-agent プロセスが失敗し、さらなるルールの適用が阻止される可能性があることが判明しました。 （CVE-2014-0187）

    認証されたユーザーが、IPv6 プライベートサブネットを L3 ルーターに追加することで、L3 エージェントを中断させ、それ以上 IPv4 アドレスが添付されないようにする可能性があることが判明しました。障害のあるネットワークの削除は、データベースレベルでのみ直接実行できます。この問題の影響を受けるのは、IPv6とL3エージェントを使用するNeutronのセットアップのみです。 （CVE-2014-4167）

    この更新では、いくつかのバグを修正し、次の拡張機能も追加しています：

    * 以前は、「cloud-init」を実行すると、各インスタンスがメタデータエージェントにリクエストを送信し、次に Networking サーバーを照会していました。
    その結果、複数のインスタンスを同時に起動すると、メタデータエージェントのクエリが「neutron-server」に高負荷を発生させていました。
    この更新では、メタデータエージェントに短い有効期間のキャッシュを実装することで、この問題に対処しています。メタデータエージェントは、キャッシュにデータが存在しない場合に Networking のみをクエリするようになりました。これにより、 インスタンス内の「cloud-init」の際に Networking サーバーの負荷が軽減されます。 （BZ#1101494）。

    * この更新により、Networking（neutron）パッケージは「/etc/sudoers.d/neutron」ファイルを更新するようになりました。
    その結果、ローカルの変更はすべて「/etc/sudoers.d/neutron.rpmsave」ファイルに移動され、手動でマージして戻す必要があります。
    将来的に手動更新の必要性をなくすには、別の「sudoers.d」ファイルでローカルの変更を適用してください。
    (BZ#1115406)

    * 以前は、Networking は Qpid と確実に通信できませんでした。この動作は、Networking が使用する Qpid レイヤーで不適切なメッセージ件名が設定されていたことが原因でした。
    この更新では、Qpid メッセージを送信するときに正しい件名を設定することで、この問題に対処しています。その結果、ネットワーキングは新しい Qpid サーバーで確実に動作するようになりました。 （BZ#1108549）

    openstack-neutron の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正し、これらの拡張機能を追加することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Darragh O'Reilly 氏は、OpenStack Neutron の Ubuntu パッケージがその sudo 構成を適切に設定しないことを発見しました。OpenStack Neutron で異なる欠陥が見つかった場合は、この脆弱性が権限の昇格に使用される可能性があります。(CVE-2013-6433)

Stephen Ma 氏および Christoph Thiel 氏は、OpenStack Neutron の openvswitch-agent が --remote-ip-prefix を指定して、セキュリティグループを作成する時に、適切に入力検証を行わないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、追加のルールのアプリケーションを妨げる可能性があります。(CVE-2014-0187)

Thiago Martins 氏は、OpenStack Neutron が L3-agent を使用する際に SNAT ルールを Ipv6 サブネットへ適切に適応しないことを発見しました。認証されたリモートの攻撃者がこれを悪用して、浮動 ipv4 アドレスがクラウドのあらゆる場所でアタッチされるのを邪魔する可能性があります。(CVE-2014-4167)

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	Name	Product	Family	Published	Updated	Severity
74228	Fedora 20 : openstack-neutron-2013.2.3-7.fc20 (2014-6520)	Nessus	Fedora Local Security Checks	5/29/2014	1/11/2021	high
74228	Fedora 20：openstack-neutron-2013.2.3-7.fc20（2014-6520）	Nessus	Fedora Local Security Checks	5/29/2014	1/11/2021	high
74228	Fedora 20：openstack-neutron-2013.2.3-7.fc20 (2014-6520)	Nessus	Fedora Local Security Checks	5/29/2014	1/11/2021	high
74228	Fedora 20：openstack-neutron-2013.2.3-7.fc20 (2014-6520)	Nessus	Fedora Local Security Checks	5/29/2014	1/11/2021	high
234392	RHEL 6 : openstack-neutron (RHSA-2014:0899)	Nessus	Red Hat Local Security Checks	4/15/2025	4/15/2025	high
76250	Ubuntu 14.04 LTS : OpenStack Neutron vulnerabilities (USN-2255-1)	Nessus	Ubuntu Local Security Checks	6/26/2014	8/28/2024	high
234392	RHEL 6：openstack-neutron (RHSA-2014:0899)	Nessus	Red Hat Local Security Checks	4/15/2025	4/15/2025	high
76250	Ubuntu 14.04 LTS：OpenStack Neutron 漏洞 (USN-2255-1)	Nessus	Ubuntu Local Security Checks	6/26/2014	8/28/2024	high
234392	RHEL 6：openstack-neutron (RHSA-2014:0899)	Nessus	Red Hat Local Security Checks	4/15/2025	4/15/2025	high
76250	Ubuntu 14.04 LTS：OpenStack Neutron 弱點 (USN-2255-1)	Nessus	Ubuntu Local Security Checks	6/26/2014	8/28/2024	high
234392	RHEL 6 : openstack-neutron (RHSA-2014:0899)	Nessus	Red Hat Local Security Checks	4/15/2025	4/15/2025	high
76250	Ubuntu 14.04 LTS : OpenStack Neutron の脆弱性 (USN-2255-1)	Nessus	Ubuntu Local Security Checks	6/26/2014	8/28/2024	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high