CentOS 6 / 7：pcs (CESA-2015:1700)

high Nessus 插件 ID 86502

语言：

简介

远程 CentOS 主机缺少一个或多个安全更新。

描述

更新后的 pcs 程序包修复了两个安全问题，现在可用于 Red Hat Enterprise Linux 6 和 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

pcs 程序包为 Pacemaker 和 Corosync 实用工具提供命令行配置系统。

在 pcsd web UI 中发现一个命令注入缺陷。能够诱骗登录 pcsd web UI 的受害者访问特别构建的 URL 的攻击者可利用此缺陷以根权限在托管 web UI 的服务器上执行任意代码。
(CVE-2015-5190)

在 pcsd web UI 后端执行用户请求授权的方式中发现一个争用条件。攻击者可利用此缺陷发送被评估为是来自不同用户的请求，从而可能允许攻击者以权限更高的用户的权限执行操作。(CVE-2015-5189)

这些问题是 Red Hat 的 Tomáš Jelínek 发现的。

建议所有 pcs 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。