OpenStack Director セキュリティー脆弱性 (CVE-2016-4474)

OpenStack 環境をデプロイするために Red Hat OpenStack の director によって使用されるオーバークラウドイメージに脆弱性が発見され、同梱されるすべてのイメージに同じデフォルトの root パスワードが使用されていることが判明しました。

背景情報

オーバークラウドイメージは、「ユーティリティー」Red Hat Enterprise Linux イメージを仮想マシンで起動し、関係するすべての OpenStack パッケージをインストールして director 使用のイメージをカスタマイズしてビルドされます。しかし、ユーティリティーイメージには以下のパラメーターが設定されており、このパラメーターはカスタマイズ時に変更されませんでした。

rootpw ROOTPW

そのため、同梱されるすべてのイメージのデフォルトパスワードは「ROOTPW」でした。

対処方法

ご使用の OpenStack 環境が影響を受けるバージョンの director によってデプロイされた場合は、システムに軽減策を適用することが強く推奨されます。新しいデプロイメントは更新されたオーバークラウドイメージのみを使用します。イメージのバージョンおよび推奨される軽減策は、 解決法 タブ下に記載されています。

Red Hat Product Security チームは、この更新のセキュリティー影響度を 重要な影響 として評価しています。

これらのイメージを使って director によってデプロイされた OpenStack システムの root パスワードは、すべて「ROOTPW」であることが判明しました。デプロイ後にこのパスワードを変更しないと、攻撃者が root としてシステムにアクセスし、システムを更新する可能性があります。

SSH を使用したリモートの root アクセスはデフォルトでは無効になっているため、攻撃者はマシンのアカウントか、アンダークラウド Compute (この設定はサポートされません) またはその他の標準コンソールツールを介したコンソールへのアクセスが必要になります。

ご使用の OpenStack 環境でこの脆弱性を診断するには、解決法タブを参照してください。

影響を受ける製品

以下の Red Hat 製品のバージョンが影響を受けます。

• Red Hat Enterprise Linux Platform 7.0 (Kilo) director
• Red Hat OpenStack Platform 8.0 (Liberty) director