CVE-2022-0670: Native-CephFS Manila Path-restriction bypass

总结

用户在运行 OpenStack Manila 以导出原生 CephFS 并将其 Ceph 集群从 Nautilus（或更早版本）升级到较新的主要版本时容易受到恶意用户攻击。该漏洞允许用户访问 CephFS 文件系统层次结构的任意部分，而不是被适当限制在自己的子卷中。该漏洞是由于 Ceph 管理器中“卷”插件中的错误造成的。该插件负责管理 Ceph 文件系统子卷，OpenStack Manila 服务将其用作向 Manila 用户提供共享的方式。

同样，此漏洞仅影响提供原生 CephFS 访问给其用户的 OpenStack Manila 集群。

受影响的版本

任何从Nautilus或更早版本升级到运行OpenStack Manila的Ceph版本。

修复版本

Quincy v17.2.2（及更高版本）
Pacific v16.2.10（及更高版本）
Octopus v15.2.17

建议

用户应尽快升级到Ceph的修复版本。
对于担心可能受影响的系统管理员，应审计其集群中的CephX密钥，以确保路径限制正确。

由 Ceph 基金会带给您

Ceph 文档是一个社区资源，由非盈利的 Ceph 基金会资助和托管Ceph Foundation. 如果您想支持这一点和我们的其他工作，请考虑加入现在加入.