Средний

Опубликована

CVE-2013-1840

OpenStack Glance is vulnerable to Exposure of Sensitive Information

Публикация: 23.03.2013·Обновлена: 30.10.2026, 22:17·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

A flaw was found in OpenStack Glance. Remote authenticated users can exploit this vulnerability by requesting a cached image when the single-tenant Swift or S3 store is in use. This action causes the system to report the location field, which can lead to the disclosure of the operator's backend credentials.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

openstack / glance

{
  "status": "affected",
  "version": "v1"
}

cpe:2.3:a:openstack:glance:v1:*:*:*:*:*:*:*

glance PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "11.0.0a0"
}

glance PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndIncluding": "v1"
}

CVSS: оценки и векторы

CVSS 3.1 · secalert@redhat.com6.5

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

CVSS 2.0 · nvd@nist.gov3.5

AV:N/AC:M/Au:S/C:P/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакизначение M; см. спецификацию CVSS

Au · Аутентификация CVSS v2однократная

C · Конфиденциальностьчастичное

I · Целостностьнет

A · Доступностьнет

Классы CWE

CWE-201 · Включение чувствительной информации в отосланные данные CWE-200 · Раскрытие конфиденциальной информации

Источники и ссылки

Происхождение полей

{
  "cwes": [
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-05T21:06:15.983869+00:00"
  },
  "title": {
    "source": "osv",
    "received_at": "2026-11-02T10:39:44.660423+00:00"
  },
  "scores": [
    "nvd"
  ],
  "status": {
    "source": "nvd",
    "received_at": "2026-11-02T00:33:05.386136+00:00"
  },
  "affected": [
    "nvd",
    "osv"
  ],
  "published": {
    "source": "nvd",
    "received_at": "2026-11-02T00:33:05.386136+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-05T21:06:15.983869+00:00"
  },
  "references": [
    "nvd",
    "osv"
  ],
  "description": {
    "source": "nvd",
    "received_at": "2026-11-02T00:33:05.386136+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

Данные обновлены06.11.2026, 00:06
Данные обновлены05.11.2026, 00:06
Данные обновлены04.11.2026, 00:05
Данные обновлены03.11.2026, 00:05
Данные обновлены02.11.2026, 15:09
Данные обновлены02.11.2026, 13:39
Опубликована02.11.2026, 03:33

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2015-5286 OpenStack Image Service (Glance) allows remote authenticated users to bypass storage quota, cause denial of service glance	Информационный	—	2,4 %		17.05.2022
CVE-2026-63770 Glance 0.8.5 IP Spoofing Authentication Brute-Force Protection Bypass glanceapp / glance	Критический	8.2	0,3 %	PoCПатч	20.07.2026
CVE-2026-34881 OpenStack Glance is affected by Server-Side Request Forgery (SSRF) OpenStack / Glance · Red Hat / Red Hat OpenStack Services on OpenShift 18.0	Высокий	5.0	0,28 %	PoC	31.03.2026
CVE-2022-47951 OpenStack Cinder, glance, and Nova vulnerable to Path Traversal cinder · nova	Информационный	—	1,03 %		13.07.2026
CVE-2024-32498 OpenStack Cinder, Glance, and Nova vulnerable to arbitrary file access n/a / n/a · cinder	Средний	6.5	0,84 %		05.07.2024