OSSN/OSSN-0078

Image Service API v1 中的 copy_from 允许网络端口扫描

Glance 提供的 Image Service API v1 中的 `copy_from` 功能可能允许攻击者执行掩盖的网络端口扫描。

Glance Image Service 的版本 1（在 Newton 中已弃用）。

在 Glance Image Service API 的版本 1 中，可以创建具有如下 URL 的镜像：`https://:22`。这可能允许攻击者枚举内部网络细节，同时保持掩盖，因为扫描看起来是从 Glance 镜像服务发起的。

Glance Image Service API 的版本 1 在 Newton 周期中已被弃用，因此操作员应升级到可以使用版本 2 的更高版本。

现有部署可以通过在 `policy.json` 中将 `copy_from` 的使用限制为 `admin` 来限制策略

   "copy_from": "role:admin"

作者：Luke Hinds, Red Hat