Рекомендация Debian по безопасности
DSA-2770-1 torque -- обход авторизации
- Дата сообщения:
- 09.10.2013
- Затронутые пакеты:
- torque
- Уязвим:
- Да
- Ссылки на базы данных по безопасности:
- В системе отслеживания ошибок Debian: Ошибка 722306.
В каталоге Mitre CVE: CVE-2013-4319. - Более подробная информация:
-
Джон Фицпатрик из MWR InfoSecurity обнаружил уязвимость, состоящую в обходе авторизации в torque, системе пакетной обработки очередей на основе PBS.
Модель авторизации torque вращается вокруг использования привилегированных портов. Если запрос сделан не с привилегированного порта, то он не считается надёжным или авторизованным. Было обнаружено, что pbs_mom не выполняет проверки, гарантирующей, что соединение установлено с привилегированного порта.
Пользователь, который может запускать работы или входить в ноду, на которой выполняются pbs_server или pbs_mom, может использовать эту уязвимость для удалённого выполнения кода с привилегиями суперпользователя на кластере, передав команду напрямую службе pbs_mom для постановки в очередь и выполнения работы.
В предыдущем стабильном выпуске (squeeze) эта проблема была исправлена в версии 2.4.8+dfsg-9squeeze2.
В стабильном выпуске (wheezy) эта проблема была исправлена в версии 2.4.16+dfsg-1+deb7u1.
В нестабильном выпуске (sid) эта проблема будет исправлена позже.
Мы рекомендуем вам обновить ваши пакеты torque.