clvmd 在运行时允许本地非特权用户通过错误权限发出任意 lvm 命令 (CVE-2010-2526)。此问题已得到修复。

更新后的 lvm2-cluster 程序包修复了一个安全问题，现可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

lvm2-cluster 程序包中包含对群集化环境中的逻辑卷管理 (LVM) 的支持。

已发现群集逻辑卷管理器的后台程序 (clvmd) 未验证连接至其控制 UNIX 抽象套接字的客户端凭据，从而允许本地非特权用户发送本来仅可由特权根用户使用的控制命令。这可允许本地非特权用户造成 clvmd 退出，或请求 clvmd 激活、停用或重新加载本地系统或群集中其他系统上的任何逻辑卷。(CVE-2010-2526)

注意：通过此更新，clvmd 使用的是基于路径名称的套接字，而非抽象套接字。因此，还必须安装 lvm2 更新 RHBA-2010:0569（用于将 LVM 更改为也使用这种基于 pathname 的套接字），LVM 才能与更新后的 clvmd 通信。

所有 lvm2-cluster 用户都应升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。安装更新后的程序包后，必须重新启动 clvmd 才能使更新生效。

更改描述：


[2.02.56-el5_5.4]
- CVE-2010-2526：修复在 lvm2 与 clvmd 之间通信时的不安全。
 解决：#616044

已发现群集逻辑卷管理器的后台程序 (clvmd) 未验证连接至其控制 UNIX 抽象套接字的客户端凭据，从而允许本地非特权用户发送本来仅可由特权根用户使用的控制命令。这可允许本地非特权用户造成 clvmd 退出，或请求 clvmd 激活、停用或重新加载本地系统或群集中其他系统上的任何逻辑卷。(CVE-2010-2526)

注意：通过此更新，clvmd 使用的是基于路径名称的套接字，而非抽象套接字。因此，还必须为 LVM 安装将 LVM 更改为也使用此基于路径名的套接字的 lvm2 更新 2010:0569 才能与更新后的 clvmd 通信。

所有 lvm2-cluster 用户都应升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。安装更新后的程序包后，必须重新启动 clvmd 才能使更新生效。

5.已修复的缺陷

CVE-2010-2526 lvm2-cluster：lvm2 和 clvmd 之间进行通信时的不安全状况

6.程序包列表：

远程主机受到 GLSA-201412-09 中所述漏洞的影响（在 2011 年修复了多个程序包和多个漏洞）

已在下列程序包中发现漏洞。
 请检查“参考”部分中的 CVE 标识符以了解详细信息。
 FMOD Studio PEAR Mail LVM2 GnuCash xine-lib Last.fm Scrobbler WebKitGTK+ shadow 工具套件 PEAR unixODBC Resource Agents mrouted rsync XML 安全库 xrdb Vino OProfile syslog-ng sFlow 工具包 GNOME Display Manager libsoup CA 证书 Gitolite QtCreator Racer 的影响：

上下文有关的攻击者可获取提升的权限、执行任意代码、导致拒绝服务、获取敏感信息或绕过安全限制。
 变通方案：

目前尚无已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
51625	SuSE 11.1 安全更新：LVM2（SAT 修补程序编号 2982）	Nessus	SuSE Local Security Checks	2011/1/21	2021/1/14	medium
63941	RHEL 5：lvm2-cluster (RHSA-2010:0567)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	medium
68073	Oracle Linux 5：lvm2-cluster (ELSA-2010-0567)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
60824	Scientific Linux 安全更新：SL5 的 lvm2-cluster、lvm2	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
79962	GLSA-201412-09：在 2011 年修复了多个程序包和多个漏洞	Nessus	Gentoo Local Security Checks	2014/12/15	2021/1/6	critical

检测

插件搜索

medium

medium

medium

medium

critical