Grzegorz Grasza

**Nome do Software Vulnerável e Versões Afetadas** OpenStack Keystone versões anteriores a 29.0.3 **Description** Tokens obtidos via tokens de acesso OAuth1, credenciais de aplicativo ou autenticação com escopo de confiança podem ser usados para criar novas credenciais de longa duração ou autorizar novas delegações. Essas novas credenciais persistem independentemente e sobrevivem ao token original utilizado para obtê-las. Isso ocorre porque as restrições de delegação não são aplicadas consistentemente a todos os tipos de tokens delegados, permitindo que um token com escopo OAuth1 crie credenciais de aplicativo ou autorize tokens de solicitação OAuth1, apesar de tais operações serem restritas para outros tipos de tokens delegados. **Recommendations** Atualize o OpenStack Keystone para a versão 29.0.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** OpenStack (versões afetadas não especificadas) **Descrição** Existe um problema no componente keystonemiddleware do OpenStack que pode permitir elevação de privilégios ou suplantação de identidade. Um atacante autenticado pode elevar seus privilégios ou assumir a identidade de outro usuário falsificando cabeçalhos de identidade, como `X-Is-Admin-Project`, `X-Roles` ou `X-User-Id`, em tokens OAuth2 externos. O problema permite que os usuários ‘solicitem’ acesso de root. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** OpenStack Barbican (affected versions not specified) **Description** A credentials leak flaw was found in OpenStack Barbican, allowing a local authenticated attacker to read the configuration file and gain access to sensitive credentials. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.