CVE catalog

CVE-2021-20288

ceph: CVE-2021-20288

[CVE catalog]

Severity
High · CVSS 8CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
Published
Source
[NVD] · [CVE record]
EPSS
2.13% · Oct 25, 2026

An authentication flaw was found in ceph in versions before 14.2.20. When the monitor handles CEPHX_GET_AUTH_SESSION_KEY requests, it doesn't sanitize other_keys, allowing key reuse. An attacker who can request a global_id can exploit the ability of any user to request a global_id previously associated with another user, as ceph does not force the reuse of old keys to generate new ones. The highest threat from this vulnerability is to data confidentiality and integrity as well as system availability.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debiancephsid20.2.4+ds-2fixed
Debiancephforky20.2.4+ds-2fixed
Debiancephtrixie18.2.7+ds-1+deb13u1fixed
Debiancephtrixie-security18.2.7+ds-1+deb13u1fixed
Debiancephbookworm16.2.15+ds-0+deb12u2fixed
Debiancephbookworm-security16.2.15+ds-0+deb12u2fixed
Ubuntucephpro12.2.0-0ubuntu1vulnerable
Ubuntucephpro12.2.1-0ubuntu1vulnerable
Ubuntucephpro12.2.2-0ubuntu1vulnerable
Ubuntucephpro12.2.2-0ubuntu2vulnerable
Ubuntucephpro12.2.4-0ubuntu1vulnerable
Ubuntucephpro12.2.4-0ubuntu1.1vulnerable
Ubuntucephpro12.2.7-0ubuntu0.18.04.1vulnerable
Ubuntucephpro12.2.8-0ubuntu0.18.04.1vulnerable
Ubuntucephpro12.2.8-0ubuntu0.18.04.2vulnerable
Ubuntucephpro12.2.11-0ubuntu0.18.04.1vulnerable
Ubuntucephpro12.2.11-0ubuntu0.18.04.2vulnerable
Ubuntucephpro12.2.12-0ubuntu0.18.04.1vulnerable
Ubuntucephpro12.2.12-0ubuntu0.18.04.2vulnerable
Ubuntucephpro12.2.12-0ubuntu0.18.04.3vulnerable
Ubuntucephpro12.2.12-0ubuntu0.18.04.4vulnerable
Ubuntucephpro12.2.12-0ubuntu0.18.04.5vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.2vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.3vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.4vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.5vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.6vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.7vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.8vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.10vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.11vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.11+esm1vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.11+esm2vulnerable
Ubuntucephpro12.2.13-0ubuntu0.18.04.11+esm3vulnerable
Ubuntuceph20.0414.2.2-0ubuntu3vulnerable
Ubuntuceph20.0414.2.2-0ubuntu4vulnerable
Ubuntuceph20.0414.2.4-0ubuntu1vulnerable
Ubuntuceph20.0414.2.4-0ubuntu2vulnerable
Ubuntuceph20.0414.2.4-0ubuntu3vulnerable
Ubuntuceph20.0415.1.0-0ubuntu2vulnerable
Ubuntuceph20.0415.1.0-0ubuntu3vulnerable
Ubuntuceph20.0415.1.1-0ubuntu1vulnerable
Ubuntuceph20.0415.2.0-0ubuntu1vulnerable
Ubuntuceph20.0415.2.0-0ubuntu2vulnerable
Ubuntuceph20.0415.2.1-0ubuntu1vulnerable
Ubuntuceph20.0415.2.1-0ubuntu2vulnerable
Ubuntuceph20.0415.2.3-0ubuntu0.20.04.1vulnerable
Ubuntuceph20.0415.2.3-0ubuntu0.20.04.2vulnerable
Ubuntuceph20.0415.2.5-0ubuntu0.20.04.1vulnerable
Ubuntuceph20.0415.2.7-0ubuntu0.20.04.1vulnerable
Ubuntuceph20.0415.2.7-0ubuntu0.20.04.2vulnerable
Ubuntuceph20.0415.2.8-0ubuntu0.20.04.1vulnerable
Ubuntuceph20.0415.2.11-0ubuntu0.20.04.2vulnerable
Ubuntuceph20.0415.2.12-0ubuntu0.20.04.1fixed
Susecephlinux enterprise module for basesystem 15 sp215.2.11.83+g8a15f484c2-3.20.1fixed
Susecephlinux enterprise module for basesystem 15 sp315.2.11.83+g8a15f484c2-3.20.1fixed
Susecephenterprise storage 715.2.11.83+g8a15f484c2-3.20.1fixed
Opensusebenjitumbleweed0.15.0-1.2fixed
Opensusecephleap 15.215.2.11.83+g8a15f484c2-lp152.2.15.1fixed
Opensuseceph-testleap 15.215.2.11.83+g8a15f484c2-lp152.2.15.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debiancephsourcesid14.2.20-1not yet assignedNot reported[986974]
Debiancephsourceforky14.2.20-1not yet assignedNot reported[986974]
Debiancephsourcetrixie14.2.20-1not yet assignedNot reported[986974]
Debiancephsourcebookworm14.2.20-1not yet assignedNot reported[986974]
Ubuntucephdeb20.0415.2.12-0ubuntu0.20.04.1Not reportedUBUNTU-CVE-2021-20288Not reported
Susecephrpmlinux enterprise module for basesystem 15 sp215.2.11.83+g8a15f484c2-3.20.1Not reportedSUSE-SU-2021:1474-1Not reported
Susecephrpmlinux enterprise module for basesystem 15 sp315.2.11.83+g8a15f484c2-3.20.1Not reportedSUSE-SU-2021:1474-1Not reported
Susecephrpmenterprise storage 715.2.11.83+g8a15f484c2-3.20.1Not reportedSUSE-SU-2021:1474-1Not reported
Opensusebenjirpmtumbleweed0.15.0-1.2Not reportedOPENSUSE-SU-2024:10649-1Not reported
Opensusecephrpmleap 15.215.2.11.83+g8a15f484c2-lp152.2.15.1Not reportedOPENSUSE-SU-2021:0672-1Not reported
Opensuseceph-testrpmleap 15.215.2.11.83+g8a15f484c2-lp152.2.15.1Not reportedOPENSUSE-SU-2021:0672-1Not reported

[Debian bug #986974]

OpenFactory catalog packages

Matching against OpenFactory catalog package versions is in progress.

[Debian 12 (Bookworm)]

  • [ceph]Unknown
    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [cephadm]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-base]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-base-dbg]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-common]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [cephfs-mirror]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [cephfs-shell]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [cephfs-top]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-fuse]Unknown

    Source package: [ceph]

    Details (2)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-mds]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-mds-dbg]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-mgr]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-mgr-dbg]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.20-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

Next results

Observed:

References