注意
本文档适用于 Ceph 的开发版本。
CVE-2022-0670: 原生 CephFS Manila 路径限制绕过
总结
运行 OpenStack Manila 导出原生 CephFS 并且将其 Ceph 集群从 Nautilus（或更早版本）升级到更高主要版本的用户容易受到恶意用户的攻击。该漏洞允许用户访问 CephFS 文件系统层次结构中的任意部分，而不是被正确地限制在他们自己的子卷中。该漏洞是由于 Ceph Manager 中“volumes”插件的一个错误造成的。该插件负责管理 Ceph 文件系统子卷，OpenStack Manila 服务使用这些子卷为 Manila 用户提供共享。
再次强调，此漏洞仅影响为其用户提供原生 CephFS 访问的 OpenStack Manila 集群。
受影响的版本
运行 OpenStack Manila 且从 Nautilus 或更早版本升级的任何 Ceph 版本。
已修复版本
Quincy v17.2.2（及更高版本）
Pacific v16.2.10（及更高版本）
Octopus v15.2.17
建议
用户应尽快升级到打了补丁的 Ceph 版本。
担心可能受到影响的管理员应审核其集群中的 CephX 密钥，以确保正确的路径限制。