GLSA-202309-09 : Pacemaker：多个漏洞
high Nessus 插件 ID 182196
语言：
描述
远程主机受到 GLSA-202309-09 中所述漏洞的影响（Pacemaker：多个漏洞）- 在 2.0.0 及之前的版本中实施 pacemaker 的客户端-服务器验证的实现方式中发现缺陷。本地攻击者可利用此缺陷，并与其他 IPC 弱点结合，实现本地权限升级。(CVE-2018-16877)
- 在 2.0.1 及之前版本的 pacemaker 中发现缺陷。验证不足造成不受控制进程的首选项会导致 DoS (CVE-2018-16878)
在 pacemaker 2.0.1 及之前版本中发现了一个释放后使用缺陷，可能导致特定敏感信息通过系统日志泄露。(CVE-2019-3885)
- 已在 pacemaker 中发现一个 ACL 绕过缺陷。在群集和 haclient 群组中拥有本地帐户的攻击者可直接通过多个后台程序使用 IPC 通信，以执行在完成配置后会被 ACL 阻止的特定任务。(CVE-2020-25654)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
所有 Pacemaker 用户皆应升级到最新版本：# emerge --sync # emerge --ask --oneshot --verbose >=sys-cluster/pacemaker-2.0.5_rc2
另见
https://security.gentoo.org/glsa/202309-09
插件详情
严重性: High
ID: 182196
文件名: gentoo_GLSA-202309-09.nasl
版本: 1.0
类型: local
发布时间: 2023/9/29
最近更新时间: 2023/9/29
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: High
基本分数: 9
时间分数: 6.7
矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 分数来源: CVE-2020-25654
CVSS v3
风险因素: High
基本分数: 7.8
时间分数: 6.8
矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2018-16877
漏洞信息
CPE: p-cpe:/a:gentoo:linux:pacemaker, cpe:/o:gentoo:linux
必需的 KB 项: Host/local_checks_enabled, Host/Gentoo/release, Host/Gentoo/qpkg-list
易利用性: No known exploits are available
补丁发布日期: 2023/9/29
漏洞发布日期: 2019/4/17
参考资料信息
CVE: CVE-2018-16877, CVE-2018-16878, CVE-2019-3885, CVE-2020-25654