🇰🇷 한글 설명
OpenStack Glance 32.0.1 미만 버전의 location API에서 목적지 호스트에 대한 검증이 누락되었습니다. 인증된 사용자가 클라우드 메타데이터 서비스와 같은 내부 엔드포인트를 가리키는 HTTP 위치를 추가하고, 이미지 데이터를 다운로드함으로써 해당 정보를 탈취할 수 있습니다.
💡 쉬운 설명
해커가 가짜 주소를 이미지 저장 위치로 등록하여, 클라우드 내부의 중요한 비밀 정보를 몰래 빼낼 수 있는 보안 결함입니다. 이미지 다운로드 기능을 악용해 내부 네트워크의 민감한 데이터에 접근할 수 있습니다.
🇺🇸 원문 (English)
In OpenStack Glance before 32.0.1, the location API does not validate destination hosts when adding an HTTP location to an image. Unlike the web-download import path, the location API only checks the URL scheme and does not apply the import_filtering_opts host restrictions. An authenticated user can add a location pointing to internal endpoints such as the cloud metadata service (169.254.169.254), and retrieve the response by downloading the image data. This affects both the new POST /v2/images/{id}/locations API and the old PATCH API when show_multiple_locations is enabled. Deployments with the HTTP store backend enabled are affected.
📍 영향받는 시스템
OpenStack Glance versions prior to 32.0.1 (with HTTP store backend enabled)
⚔️ 공격 벡터
인증된 사용자가 이미지에 내부 메타데이터 서비스(169.254.169.254)를 가리키는 HTTP location을 추가한 후 이미지 데이터를 다운로드함
🛡️ 대응 방법
OpenStack Glance를 32.0.1 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Glance 버전이 32.0.1 미만인지 확인하십시오.
openstack image list --long | grep -i 'glance' && glance --version