Рекомендация Debian по безопасности

DSA-2770-1 torque -- обход авторизации

Дата сообщения:
09.10.2013
Затронутые пакеты:
torque
Уязвим:
Да
Ссылки на базы данных по безопасности:
В системе отслеживания ошибок Debian: Ошибка 722306.
В каталоге Mitre CVE: CVE-2013-4319.
Более подробная информация:

Джон Фицпатрик из MWR InfoSecurity обнаружил уязвимость, состоящую в обходе авторизации в torque, системе пакетной обработки очередей на основе PBS.

Модель авторизации torque вращается вокруг использования привилегированных портов. Если запрос сделан не с привилегированного порта, то он не считается надёжным или авторизованным. Было обнаружено, что pbs_mom не выполняет проверки, гарантирующей, что соединение установлено с привилегированного порта.

Пользователь, который может запускать работы или входить в ноду, на которой выполняются pbs_server или pbs_mom, может использовать эту уязвимость для удалённого выполнения кода с привилегиями суперпользователя на кластере, передав команду напрямую службе pbs_mom для постановки в очередь и выполнения работы.

В предыдущем стабильном выпуске (squeeze) эта проблема была исправлена в версии 2.4.8+dfsg-9squeeze2.

В стабильном выпуске (wheezy) эта проблема была исправлена в версии 2.4.16+dfsg-1+deb7u1.

В нестабильном выпуске (sid) эта проблема будет исправлена позже.

Мы рекомендуем вам обновить ваши пакеты torque.