Säkerhetsinformation / 2013 / Säkerhetsinformation -- DSA-2770-1 torque

Säkerhetsbulletin från Debian

DSA-2770-1 torque -- autentiseringsförbigång

Rapporterat den:

2013-10-09

Berörda paket:

torque

Sårbara:

Ja

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 722306.
I Mitres CVE-förteckning: CVE-2013-4319.

Ytterligare information:

John Fitzpatrick från MWR InfoSecurity upptäckte en autentiseringsförbigångssårbarhet i torque, ett PBS-baserat batchbehandlingskösystem.

Autentiseringsmodellen i torque kretsar kring användningen av privilegierade portar. Om en förfrågan inte görs från en privilegierad port så antas den inte vara tillförlitlig eller autentiserad. Det upptäcktes att pbs_mom inte utför en kontroll för att säkerställa att anslutningar görs från en privilegierad port.

En användare som kan köra jobb eller logga in på en nod som kör pbs_server eller pbs_mom kan exploatera denna sårbarhet för att exekvera kod som root från en fjärr dator på klustern genom att skicka ett kommando direkt till en pbs_mom-demon för att köa och köra ett jobb.

För den gamla stabila utgåvan (Squeeze) har detta problem rättats i version 2.4.8+dfsg-9squeeze2.

För den stabila utgåvan (Wheezy) har detta problem rättats i version 2.4.16+dfsg-1+deb7u1.

För den instabila utgåvan (Sid), kommer detta problem rättas inom kort.

Vi rekommenderar att ni uppgraderar era torque-paket.