Рекомендация Debian по безопасности

DSA-4791-1 pacemaker -- обновление безопасности

Дата сообщения:
13.11.2020
Затронутые пакеты:
pacemaker
Уязвим:
Да
Ссылки на базы данных по безопасности:
В системе отслеживания ошибок Debian: Ошибка 973254.
В каталоге Mitre CVE: CVE-2020-25654.
Более подробная информация:

Кен Гаиллот обнаружил уязвимость в менеджере ресурсов кластера Pacemaker. Если для пользователей из группы haclient настроены списки управления доступом, то эти ограничения можно обойти с помощью неограниченного IPC-взаимодействия, что приводит к выполнению произвольного кода с правами суперпользователя на всех машинах кластера.

Если для кластера не включена опция "enable-acl", то члены группы haclient могут изменять информацию о кластере Pacemaker без ограничений, что уже даёт им данные возможности, поэтому при таки настройках нет дополнительных проблем безопасности.

В стабильном выпуске (buster) эта проблема была исправлена в версии 2.0.1-5+deb10u1.

Рекомендуется обновить пакеты pacemaker.

С подробным статусом поддержки безопасности pacemaker можно ознакомиться на соответствующей странице отслеживания безопасности по адресу https://security-tracker.debian.org/tracker/pacemaker