CVE catalog

CVE-2021-3524

ceph: CVE-2021-3524

[CVE catalog]

Severity
Medium · CVSS 6.5CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
Published
Source
[NVD] · [CVE record]
EPSS
1.60% · Oct 25, 2026

A flaw was found in the Red Hat Ceph Storage RadosGW (Ceph Object Gateway) in versions before 14.2.21. The vulnerability is related to the injection of HTTP headers via a CORS ExposeHeader tag. The newline character in the ExposeHeader tag in the CORS configuration file generates a header injection in the response when the CORS request is made. In addition, the prior bug fix for CVE-2020-10753 did not account for the use of \r as a header separator, thus a new flaw has been created.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debiancephsid20.2.4+ds-2fixed
Debiancephforky20.2.4+ds-2fixed
Debiancephtrixie18.2.7+ds-1+deb13u1fixed
Debiancephtrixie-security18.2.7+ds-1+deb13u1fixed
Debiancephbookworm16.2.15+ds-0+deb12u2fixed
Debiancephbookworm-security16.2.15+ds-0+deb12u2fixed
Ubuntucephpro0.94.3-0ubuntu2vulnerable
Ubuntucephpro0.94.5-0ubuntu1vulnerable
Ubuntucephpro9.2.0-0ubuntu3vulnerable
Ubuntucephpro9.2.0-0ubuntu4vulnerable
Ubuntucephpro9.2.0-0ubuntu5vulnerable
Ubuntucephpro9.2.0-0ubuntu6vulnerable
Ubuntucephpro10.0.2-0ubuntu1vulnerable
Ubuntucephpro10.0.3-0ubuntu1vulnerable
Ubuntucephpro10.0.5-0ubuntu1vulnerable
Ubuntucephpro10.1.0-0ubuntu1vulnerable
Ubuntucephpro10.1.1-0ubuntu1vulnerable
Ubuntucephpro10.1.2-0ubuntu1vulnerable
Ubuntucephpro10.2.0-0ubuntu0.16.04.1vulnerable
Ubuntucephpro10.2.0-0ubuntu0.16.04.2vulnerable
Ubuntucephpro10.2.2-0ubuntu0.16.04.2vulnerable
Ubuntucephpro10.2.3-0ubuntu0.16.04.2vulnerable
Ubuntucephpro10.2.5-0ubuntu0.16.04.1vulnerable
Ubuntucephpro10.2.6-0ubuntu0.16.04.1vulnerable
Ubuntucephpro10.2.7-0ubuntu0.16.04.1vulnerable
Ubuntucephpro10.2.9-0ubuntu0.16.04.1vulnerable
Ubuntucephpro10.2.10-0ubuntu0.16.04.1vulnerable
Ubuntucephpro10.2.11-0ubuntu0.16.04.1vulnerable
Ubuntucephpro10.2.11-0ubuntu0.16.04.2vulnerable
Ubuntucephpro10.2.11-0ubuntu0.16.04.3vulnerable
Ubuntucephpro10.2.11-0ubuntu0.16.04.3+esm1vulnerable
Ubuntucephpro10.2.11-0ubuntu0.16.04.3+esm2fixed
Ubuntuceph18.0412.2.0-0ubuntu1vulnerable
Ubuntuceph18.0412.2.1-0ubuntu1vulnerable
Ubuntuceph18.0412.2.2-0ubuntu1vulnerable
Ubuntuceph18.0412.2.2-0ubuntu2vulnerable
Ubuntuceph18.0412.2.4-0ubuntu1vulnerable
Ubuntuceph18.0412.2.4-0ubuntu1.1vulnerable
Ubuntuceph18.0412.2.7-0ubuntu0.18.04.1vulnerable
Ubuntuceph18.0412.2.8-0ubuntu0.18.04.1vulnerable
Ubuntuceph18.0412.2.8-0ubuntu0.18.04.2vulnerable
Ubuntuceph18.0412.2.11-0ubuntu0.18.04.1vulnerable
Ubuntuceph18.0412.2.11-0ubuntu0.18.04.2vulnerable
Ubuntuceph18.0412.2.12-0ubuntu0.18.04.1vulnerable
Ubuntuceph18.0412.2.12-0ubuntu0.18.04.2vulnerable
Ubuntuceph18.0412.2.12-0ubuntu0.18.04.3vulnerable
Ubuntuceph18.0412.2.12-0ubuntu0.18.04.4vulnerable
Ubuntuceph18.0412.2.12-0ubuntu0.18.04.5vulnerable
Ubuntuceph18.0412.2.13-0ubuntu0.18.04.2vulnerable
Ubuntuceph18.0412.2.13-0ubuntu0.18.04.3vulnerable
Ubuntuceph18.0412.2.13-0ubuntu0.18.04.4vulnerable
Ubuntuceph18.0412.2.13-0ubuntu0.18.04.5vulnerable
Ubuntuceph18.0412.2.13-0ubuntu0.18.04.6vulnerable
Ubuntuceph18.0412.2.13-0ubuntu0.18.04.7vulnerable
Ubuntuceph18.0412.2.13-0ubuntu0.18.04.8vulnerable
Ubuntuceph18.0412.2.13-0ubuntu0.18.04.10fixed
Ubuntuceph20.0414.2.2-0ubuntu3vulnerable
Ubuntuceph20.0414.2.2-0ubuntu4vulnerable
Ubuntuceph20.0414.2.4-0ubuntu1vulnerable
Ubuntuceph20.0414.2.4-0ubuntu2vulnerable
Ubuntuceph20.0414.2.4-0ubuntu3vulnerable
Ubuntuceph20.0415.1.0-0ubuntu2vulnerable
Ubuntuceph20.0415.1.0-0ubuntu3vulnerable
Ubuntuceph20.0415.1.1-0ubuntu1vulnerable
Ubuntuceph20.0415.2.0-0ubuntu1vulnerable
Ubuntuceph20.0415.2.0-0ubuntu2vulnerable
Ubuntuceph20.0415.2.1-0ubuntu1vulnerable
Ubuntuceph20.0415.2.1-0ubuntu2vulnerable
Ubuntuceph20.0415.2.3-0ubuntu0.20.04.1vulnerable
Ubuntuceph20.0415.2.3-0ubuntu0.20.04.2vulnerable
Ubuntuceph20.0415.2.5-0ubuntu0.20.04.1vulnerable
Ubuntuceph20.0415.2.7-0ubuntu0.20.04.1vulnerable
Ubuntuceph20.0415.2.7-0ubuntu0.20.04.2vulnerable
Ubuntuceph20.0415.2.8-0ubuntu0.20.04.1vulnerable
Ubuntuceph20.0415.2.11-0ubuntu0.20.04.2vulnerable
Ubuntuceph20.0415.2.12-0ubuntu0.20.04.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debiancephsourcesid14.2.21-1not yet assignedNot reported[988889]
Debiancephsourceforky14.2.21-1not yet assignedNot reported[988889]
Debiancephsourcetrixie14.2.21-1not yet assignedNot reported[988889]
Debiancephsourcebookworm14.2.21-1not yet assignedNot reported[988889]
Ubuntucephdebpro10.2.11-0ubuntu0.16.04.3+esm2Not reportedUBUNTU-CVE-2021-3524Not reported
Ubuntucephdeb18.0412.2.13-0ubuntu0.18.04.10Not reportedUBUNTU-CVE-2021-3524Not reported
Ubuntucephdeb20.0415.2.12-0ubuntu0.20.04.1Not reportedUBUNTU-CVE-2021-3524Not reported

[Debian bug #988889]

OpenFactory catalog packages

Matching against OpenFactory catalog package versions is in progress.

[Debian 12 (Bookworm)]

  • [ceph]Unknown
    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [cephadm]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-base]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-base-dbg]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-common]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [cephfs-mirror]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [cephfs-shell]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [cephfs-top]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-fuse]Unknown

    Source package: [ceph]

    Details (2)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-mds]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-mds-dbg]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-mgr]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

  • [ceph-mgr-dbg]Unknown

    Source package: [ceph]

    Details (4)
    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

    • 16.2.15+ds-0+deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 14.2.21-1

      dsa · ceph · debian · bookworm; dsa · ceph · debian · 12

Next results

Observed:

References