已解決叢集資源管理器 Pacemaker 中的數個安全性弱點。

CVE-2018-16877

在實作 pacemaker 的用戶端-伺服器驗證的方式中發現一個瑕疵。本機攻擊者可利用此瑕疵，結合其他 IPC 弱點，造成本機權限提升。

CVE-2018-16878

驗證不充分造成程式優先使用不受控制的程序，此弱點可導致拒絕服務。

CVE-2020-25654

在 pacemaker 中發現 ACL 略過弱點。在叢集和 haclient 群組中擁有本機帳戶的攻擊者可直接使用與各種背景程式的 IPC 通訊來執行某些作業，而這些作業在通過設定時本應被 ACL 阻止。

針對 Debian 9 Stretch，已在 1.1.24-0+deb9u1 版本中修正這些問題。

建議您升級 pacemaker 套件。

如需有關 pacemaker 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/pacemaker

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2519-1：pacemaker 安全性更新

high Nessus Plugin ID 144814

版本 1.4