Bulletin d'alerte Debian

DLA-2533-1 crmsh -- Mise à jour de sécurité pour LTS

Date du rapport :

25 janvier 2021

Paquets concernés :

crmsh

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2020-35459.

Plus de précisions :

Il a été découvert qu’il existait un problème dans l’outil en ligne de commande pour le service de haute disponibilité Pacemaker. Des attaquants locaux pouvaient exécuter des commandes à l’aide d’une injection de code d’interpréteur dans l’outil en ligne de commande crm history, permettant éventuellement une augmentation de droits.

CVE-2020-35459
Un problème a été découvert dans crmsh de ClusterLabs jusqu’à la version 4.2.1. Des attaquants locaux capables d’appeler crm history (quand crm était en cours d’exécution) pouvaient exécuter des commandes à l’aide d’une injection de code d’interpréteur dans l’outil en ligne de commande crm history, permettant éventuellement une augmentation de droits.

Pour Debian 9 Stretch, ces problèmes ont été corrigés dans la version 2.3.2-4+deb9u1.

Nous vous recommandons de mettre à jour vos paquets crmsh.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.