在 Pacemaker (叢集資源管理員) 於某些情況下評估新增之節點的方式中發現瑕疵。擁有唯讀存取權的使用者可能將其他任何現有的角色指派給自己，然後將權限新增給其他使用者。(CVE-2015-1867)

pacemaker 套件已升級至上游版本 1.1.13，此版本針對先前的版本提供數個錯誤修正與增強功能。

此更新也可修正下列錯誤：

- 當 Pacemaker 叢集包括 Apache 資源，且 Apache 的 mod_systemd 模組啟用時，systemd 會拒絕 Apache 傳送的通知。因此，系統記錄會出現以下格式的大量錯誤：

收到來自 PID XXXX 的通知訊息，但只允許接收 PID YYYY 格式

透過此更新，現在 lrmd 程序在上述情況中會取消設定「NOTIFY_SOCKET」變數，而不會再記錄這些錯誤訊息。

- 之前在將遠端來賓節點指定為 Pacemaker 叢集中的群組資源一部分時，會造成該節點停止運作。此更新可支援 Pacemaker 群組資源中的遠端來賓，因此上述問題不會再發生。

- 當 Pacemaker 叢集中的資源無法開始時，Pacemaker 會更新資源的最後失敗時間並累積失敗計數，無論系統是否使用 'on-fail=ignore' 選項。這在某些情況下，如果發生資源開始失敗，會導致非預期的資源移轉。現在當使用‘on-fail=ignore’時，Pacemaker 不會再更新失敗計數。因此，叢集狀態輸出中會顯示失敗但會適時忽略，因而不會造成資源移轉。

- 之前，Pacemaker 在剖析 pcmk_host_map 字串時，會支援分號字元 (‘;’) 做為分隔符號，但在剖析 pcmk_host_list 字串時並不支援。
 為確保一致的使用者體驗，現在剖析 pcmk_host_list 時也會支援分號做為分隔符號。

此外，此更新還新增了下列增強功能：

- 如果 Pacemaker 位置限制具有 'resource-discovery=never' 選項，Pacemaker 現在不會嘗試判定指定服務是否在指定的節點上執行。此外，如果有多個特定資源的位置限制指定 'resource- discovery=exclusive'，Pacemaker 則只會在這些限制的指定節點上嘗試資源搜索。這會讓 Pacemaker 略過作業嘗試可能導致錯誤或其他非預期行為的節點資源搜索。

- 備援電源供應系統的隔離配置程序已經簡化，避免多個節點同時存取叢集資源，進而造成資料損毀。如需進一步資訊，請參閱《高可用性附加元件參考手冊》中的「隔離：設定 STONITH」一章。

- 'crm_mon' 和 'pcs_status' 命令的輸出已經修改為更加清楚且精簡，因此在報告具有大量遠端節點和複製資源的 Pacemaker 叢集狀態時能更容易讀取。

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 pacemaker 套件，可修正一個安全性問題、數個錯誤，並新增兩個增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Pacemaker Resource Manager 是一組共同運作的技術，可提供資料完整性，並能夠在失敗時維持應用程式可用性。

在 Pacemaker (叢集資源管理員) 於某些情況下評估新增之節點的方式中發現瑕疵。擁有唯讀存取權的使用者可能將其他任何現有的角色指派給自己，然後將權限新增給其他使用者。(CVE-2015-1867)

pacemaker 套件已升級至上游版本 1.1.13，此版本針對先前的版本提供數個錯誤修正與增強功能。(BZ#1234680)

此更新也可修正下列錯誤：

* 當 Pacemaker 叢集包括 Apache 資源，且 Apache 的 mod_systemd 模組啟用時，systemd 會拒絕 Apache 傳送的通知。因此，系統記錄會出現以下格式的大量錯誤：

收到來自 PID XXXX 的通知訊息，但只允許接收 PID YYYY 格式

透過此更新，現在 lrmd 程序在上述情況中會取消設定「NOTIFY_SOCKET」變數，而不會再記錄這些錯誤訊息。(BZ#1150184)

* 之前在將遠端來賓節點指定為 Pacemaker 叢集中的群組資源一部分時，會造成該節點停止運作。此更新可支援 Pacemaker 群組資源中的遠端來賓，因此上述問題不會再發生。(BZ#1168637)

* 當 Pacemaker 叢集中的資源無法開始時，Pacemaker 會更新資源的最後失敗時間並累積失敗計數，無論系統是否使用 'on-fail=ignore' 選項。這在某些情況下，如果發生資源開始失敗，會導致非預期的資源移轉。現在當使用‘on-fail=ignore’時，Pacemaker 不會再更新失敗計數。因此，叢集狀態輸出中會顯示失敗但會適時忽略，因而不會造成資源移轉。(BZ#1200849)

* 之前，Pacemaker 在剖析 pcmk_host_map 字串時，支援分號字元 (‘;’) 作為分隔符號，但在剖析 pcmk_host_list 字串時並不支援。為確保一致的使用者體驗，現在剖析 pcmk_host_list 時也會支援分號做為分隔符號。(BZ#1206232)

此外，此更新還新增了下列增強功能：

* 如果 Pacemaker 位置限制具有‘resource-discovery=never’選項，Pacemaker 現在不會嘗試判定指定服務是否在指定的節點上執行。此外，如果有多個特定資源的位置限制指定‘resource-discovery=exclusive’，Pacemaker 則只會在這些限制的指定節點上嘗試資源搜索。這會讓 Pacemaker 略過作業嘗試可能導致錯誤或其他非預期行為的節點資源搜索。(BZ#1108853)

* 備援電源供應系統的隔離配置程序已經簡化，避免多個節點同時存取叢集資源，進而造成資料損毀。
如需進一步資訊，請參閱《高可用性附加元件參考手冊》中的「隔離：設定 STONITH」一章。(BZ#1206647)

* ‘crm_mon’ 和 ‘pcs_status’ 命令的輸出已經變得更加清楚且精簡，因此在報告具有大量遠端節點和複製資源的 Pacemaker 叢集狀態時更容易讀取。(BZ#1115840)

建議所有 pacemaker 使用者皆升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

CVE-2015-1867 的安全性修正：pacemaker-1.1.12 中存在 allegedly 問題，已在 pacemaker-1.1.13 中修正。* * * pacemaker-1.1.13-3.fc{21,22,23} - Pacemaker-1.1.13 後版本 + 修補程式的更新 (同步) - 新增 nagios-plugins-metadata 子套件，啟用所選 Nagios 外掛程式的支援，做為 Pacemaker 識別的資源 - 數個規格檔案改善項目：中斷不相關的內容、重新雜湊包含/排除的檔案 + 相依性，並新增檢查 scriptlet，反映目前的套件封裝實務，進行微幅清理 (多數從另一個規格採用)

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 pacemaker 套件，可修正一個安全性問題和數個錯誤。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Pacemaker Resource Manager 是一組共同運作的技術，可提供資料完整性，並能夠在失敗時維持應用程式可用性。

在 Pacemaker (叢集資源管理員) 於某些情況下評估新增之節點的方式中發現瑕疵。擁有唯讀存取權的使用者可能將其他任何現有的角色指派給自己，然後將權限新增給其他使用者。(CVE-2015-1867)

此更新也可修正下列錯誤：

* 基於爭用情形，正常關閉的節點偶爾會無法重新加入叢集。因此，節點可能連線，然後透過叢集，再次立即關閉。此錯誤已經過修正，現在可以正確清除‘shutdown’屬性。(BZ#1198638)

* 在此更新之前，Pacemaker 公用程式會在 Red Hat Enterprise Linux 6.6 系統更新之後，造成 attrd 程序意外終止。此錯誤已經過修正，因此在 Pacemaker 啟動時，attrd 不再會損毀。(BZ#1205292)

* 之前，Pacemaker 公用程式的存取控制清單 (ACL) 允許使用唯讀權限，將角色指派給叢集資訊庫 (CIB)。透過此更新，會強制使用 ACL，並且沒有寫入權限的使用者無法再繞過 ACL，因而修正了此錯誤。(BZ#1207621)

* 在此更新之前，ClusterMon (crm_mon) 公用程式不會在使用 Pacemaker 公用程式時，透過 '-E' 參數觸發外部代理程式指令碼來監控叢集資訊庫 (CIB)。已提供修正此錯誤的修補程式，因此 crm_mon 現在在使用‘-E’參數時，會呼叫代理程式指令碼。(BZ#1208896)

建議 pacemaker 使用者升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式。

在 Pacemaker (叢集資源管理員) 於某些情況下評估新增之節點的方式中發現瑕疵。擁有唯讀存取權的使用者可能將其他任何現有的角色指派給自己，然後將權限新增給其他使用者。(CVE-2015-1867)

此更新也可修正下列錯誤：

- 基於爭用情形，正常關閉的節點偶爾會無法重新加入叢集。因此，節點可能連線，然後透過叢集，再次立即關閉。此錯誤已經過修正，現在可以正確清除‘shutdown’屬性。

- 在此更新之前，Pacemaker 公用程式會在 Scientific Linux 6.6 系統更新之後，造成 attrd 程序意外終止。此錯誤已經過修正，因此在 Pacemaker 啟動時，attrd 不再會損毀。

- 之前，Pacemaker 公用程式的存取控制清單 (ACL) 允許使用唯讀權限，將角色指派給叢集資訊庫 (CIB)。透過此更新，會強制使用 ACL，並且沒有寫入權限的使用者無法再繞過 ACL，因而修正了此錯誤。

- 在此更新之前，ClusterMon (crm_mon) 公用程式不會在使用 Pacemaker 公用程式時，透過「-E」參數觸發外部代理程式指令碼來監控叢集資訊庫 (CIB)。已提供修正此錯誤的修補程式，因此 crm_mon 現在在使用‘-E’參數時，會呼叫代理程式指令碼。

遠端主機受到 GLSA-201710-08 中所述的弱點影響 (Pacemaker：多個弱點) 在 Pacemaker 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。影響：遠端攻擊者可執行任意程式碼，或是本機攻擊者可提升權限。因應措施：目前尚無已知的因應措施。

ID	名稱	產品	系列	已發布	已更新	嚴重性
87568	Scientific Linux 安全性更新：SL7.x x86_64 上的 pacemaker	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	high
86987	RHEL 7 : pacemaker (RHSA-2015:2383)	Nessus	Red Hat Local Security Checks	2015/11/20	2019/10/24	high
89464	Fedora 23：pacemaker-1.1.13-3.fc23 (2015-f9864ecd8f)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
89444	Fedora 21：pacemaker-1.1.13-3.fc21 (2015-e5e36bbb87)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
89462	Fedora 22：pacemaker-1.1.13-3.fc22 (2015-f6860d8f9d)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
84946	RHEL 6 : pacemaker (RHSA-2015:1424)	Nessus	Red Hat Local Security Checks	2015/7/23	2021/2/5	high
87155	CentOS 7 : pacemaker (CESA-2015:2383)	Nessus	CentOS Local Security Checks	2015/12/2	2021/1/4	high
85020	CentOS 6 : pacemaker (CESA-2015:1424)	Nessus	CentOS Local Security Checks	2015/7/28	2021/1/4	high
85204	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 pacemaker	Nessus	Scientific Linux Local Security Checks	2015/8/4	2021/1/14	high
103726	GLSA-201710-08：Pacemaker：多個弱點	Nessus	Gentoo Local Security Checks	2017/10/9	2021/1/11	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high