CVE:CVE-2016-4972
CNNVD:CNNVD-201606-565
OpenStack是美国国家航空航天局（National Aeronautics and Space Administration）和美国Rackspace公司合作研发的一个云平台管理项目。Openstack Murano是其中的一个应用程序目录管理项目。Murano-dashboard是其中的一个管理界面。Python-muranoclient是其中的一个用于建立Murano API的客户端库。
多款OpenStack产品中存在安全漏洞，该漏洞源于在解析MuranoPL和UI文件时，程序没有正确使用来自yaml.Loader的装载器继承。远程攻击者可借助UI定义中扩展的YAML标签利用该漏洞创建任意Python对象和执行任意代码。以下版本受到影响：OpenStack Murano 1.0.3之前的版本（库）和2.0.1之前的2.x版本(mitaka), Murano-dashboard 1.0.3之前的版本 (库)和2.0.1之前的2.x版本(mitaka), python-muranoclient 0.7.3之前的版本(库)和0.8.5之前的0.8.x版本(mitaka)。
solution:Upgrade openstack mitaka-murano to a higher version than 2.0.0,and avoid the version (,2.0.0]; Upgrade openstack murano to a higher version than 1.0.2,and avoid the version (,1.0.2]; Upgrade openstack murano-dashboard to a higher version than 1.0.2,and avoid the version (,1.0.2]; Upgrade openstack python-muranoclient to a higher version than 0.7.2,and avoid the version (,0.7.2]