現已提供適用於 Red Hat Enterprise Linux 5 的更新版 cman 套件，可修正數個安全性問題和多種錯誤，並新增增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。

Cluster Manager (cman) 公用程式提供管理 Linux 叢集的服務。

在 fence_apc_snmp and ccs_tool 中發現多個不安全的暫存檔使用瑕疵。本機攻擊者可利用這些瑕疵，透過符號連結攻擊，以公用程式的輸出覆寫可由執行這些公用程式 (通常是 root) 的受害者寫入的任意檔案。(CVE-2008-4579、CVE-2008-6552)

錯誤修正：

* 如果 cluster.conf 的 <cman> 區塊內的每個區塊都有 52 個以上的項目，則緩衝區可溢位。現在的限制為 1024。

* group_tool 轉儲存子命令的輸出填補了 NULL。

* 使用 device='' instead of label='' 不會再導致 qdiskd 錯誤結束。

* IPMI 隔離代理程式已修改為在 10 秒之後逾時。現在也可能使用「-t」選項指定不同的逾時值。

* IPMI 隔離代理程式現在允許在密碼中使用標點符號。

* 快速啟動並停止 cman 服務不會再導致叢集成員在整個叢集中變得不一致。

* 鎖定同步的問題導致將「receive_own from」錯誤記錄到「/var/log/messages」中。

* 已修正在掛載數百個檔案系統時導致 gfs_controld 分割錯誤的問題。

* LPAR 隔離代理程式現在能夠在 LPAR 處於「開放式韌體」模式下時正確報告狀態。

* LPAR 隔離代理程式現在可與使用「整合式虛擬化管理員」(IVM) 的系統正確搭配使用。

* APC SNMP 隔離代理程式現在能夠正確辨識 SNMP 代理程式中的 outletStatusOn 與 outletStatusOff 傳回碼。

* WTI 隔離代理程式現在能夠在無需密碼的情況下連線至隔離裝置。

* rps-10 隔離代理程式現在能夠在不使用選項的情況下執行時正確執行重新開機。

* IPMI 隔離代理程式現在支援使用「-C」選項的不同加密類型。

* qdisk 現在能夠正確掃描裝置與磁碟分割。

* cman 現在會檢查新節點是否有狀態，能夠防止在叢集設定期間終止第一個節點。

*「service qdiskd start」現在能夠正確運作。

* McData 隔離代理程式現在能夠與 McData Sphereon 4500 光纖交換器正確搭配使用。

* Egenera 隔離代理程式現在能夠指定 SSH 登入名稱。

* APC 隔離代理程式現在能夠在使用 3.5.x 韌體時與非管理員帳戶搭配使用。

* fence_xvmd 現在會嘗試兩種方法來將虛擬機器重新開機。

* 現在允許從具有「ais」的使用者與群組的無權限 CPG 用戶端連線至 OpenAIS。

* groupd 不再允許預設隔離網域為「0」，這之前導致 rgmanager 懸置。現在，rgmanager 不會再懸置。

* RSA 隔離代理程式現在支援啟用 SSH 的 RSA II 裝置。

* DRAC 隔離代理程式現在可與 Dell PowerEdge M600 刀鋒伺服器上的整合式 Dell 遠端存取控制器 (iDRAC) 搭配使用。

* 已修正 cman 中的記憶體洩漏問題。

* 如果發現有多個標籤使用相同名稱，qdisk 現在會顯示警告。

* DRAC5 隔離代理程式現在顯示「-D」選項的正確使用指示。

* cman 不會再於 getnameinfo() 失敗時使用錯誤的節點名稱。

* SCSI 隔離代理程式現在會確認是否已安裝 sg_persist。

* DRAC5 隔離代理程式現在能夠正確處理模組名稱。

* 如果看起來 QDisk 共用儲存空間的 I/O 已懸置，它現在會記錄警告訊息。

* fence_apc 不會再發生 pexpect 例外狀況失敗。

* 現在使用「cman_tool leave remove」從叢集中移除節點可正確減少 expected_votes 與 quorum。

* 已修正 cman 中的信號洩漏問題。

* 當節點沒有成員位置時，「cman_tool 節點 -F 名稱」不會再發生分割錯誤。

增強功能：

* 支援：ePowerSwitch 8+ 與 LPAR/HMC v3 裝置、Cisco MDS 9124 與 MDS 9134 SAN 交換器、virsh 隔離代理程式，以及與 cman 之間的廣播通訊。

* 已將 fence_scsi 限制新增至 fence_scsi 手冊頁。

建議 cman 使用者升級至這些更新版套件，其可解決這些問題並新增這些增強功能。

遠端 Oracle Linux 5 主機中安裝的套件受到 ELSA-2009-1341 公告中提及的多個弱點影響。

  - (1) fence_apc 和 (2) fence_apc_snmp 程式，如在 (a) fence 2.02.00-r1 和 (b) cman (可能) 中所使用，當在 verbose 模式下執行時，這些程式允許本機使用者透過符號連結攻擊附加至任意檔案在 apclog 暫存檔上。(CVE-2008-4579)

  - Red Hat Cluster Project 2.x 版允許本機使用者透過 /tmp 中檔案的符號連結攻擊，修改或覆寫任意檔案，該弱點涉及 Fedora 9 上的不明元件，包括 Resource Group Manager (即 rgmanager) 2.03.09-1 之前的版本、gfs2-utils 2.03.09-1 之前的版本以及 CMAN - The Cluster Manager 2.03.09-1 之前的版本。
    (CVE-2008-6552)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 fence_apc_snmp and ccs_tool 中發現多個不安全的暫存檔使用瑕疵。本機攻擊者可利用這些瑕疵，透過符號連結攻擊，以公用程式的輸出覆寫可由執行這些公用程式 (通常是 root) 的受害者寫入的任意檔案。(CVE-2008-4579、CVE-2008-6552)

錯誤修正：

- 如果 cluster.conf 的 <cman> 區塊內的每個區塊都有 52 個以上的項目，則緩衝區可溢位。現在的限制為 1024。

- group_tool 轉儲存子命令的輸出填補了 NULL。

- 使用 device='' instead of label='' 不會再導致 qdiskd 錯誤結束。

- IPMI 隔離代理程式已修改為在 10 秒之後逾時。現在也可能使用「-t」選項指定不同的逾時值。

- IPMI 隔離代理程式現在允許在密碼中使用標點符號。

- 快速啟動並停止 cman 服務不會再導致叢集成員在整個叢集中變得不一致。

- 鎖定同步的問題導致將「receive_own from」錯誤記錄到「/var/log/messages」中。

- 已修正在掛載數百個檔案系統時導致 gfs_controld 分割錯誤的問題。

- LPAR 隔離代理程式現在能夠在 LPAR 處於「開放式韌體」模式下時正確報告狀態。

- LPAR 隔離代理程式現在可與使用「整合式虛擬化管理員」(IVM) 的系統正確搭配使用。

- APC SNMP 隔離代理程式現在能夠正確辨識 SNMP 代理程式中的 outletStatusOn 與 outletStatusOff 傳回碼。

- WTI 隔離代理程式現在能夠在無需密碼的情況下連線至隔離裝置。

- rps-10 隔離代理程式現在能夠在不使用選項的情況下執行時正確執行重新開機。

- IPMI 隔離代理程式現在支援使用「-C」選項的不同加密類型。

- qdisk 現在能夠正確掃描裝置與磁碟分割。

- cman 現在會檢查新節點是否有狀態，能夠防止在叢集設定期間終止第一個節點。

-「service qdiskd start」現在能夠正確運作。

- McData 隔離代理程式現在能夠與 McData Sphereon 4500 光纖交換器正確搭配使用。

- Egenera 隔離代理程式現在能夠指定 SSH 登入名稱。

- APC 隔離代理程式現在能夠在使用 3.5.x 韌體時與非管理員帳戶搭配使用。

- fence_xvmd 現在會嘗試兩種方法來將虛擬機器重新開機。

- 現在允許從具有「ais」的使用者與群組的無權限 CPG 用戶端連線至 OpenAIS。

- groupd 不再允許預設隔離網域為「0」，這之前導致 rgmanager 懸置。現在，rgmanager 不會再懸置。

- RSA 隔離代理程式現在支援啟用 SSH 的 RSA II 裝置。

- DRAC 隔離代理程式現在可與 Dell PowerEdge M600 刀鋒伺服器上的整合式 Dell 遠端存取控制器 (iDRAC) 搭配使用。

- 已修正 cman 中的記憶體洩漏問題。

- 如果發現有多個標籤使用相同名稱，qdisk 現在會顯示警告。

- DRAC5 隔離代理程式現在顯示「-D」選項的正確使用指示。

- cman 不會再於 getnameinfo() 失敗時使用錯誤的節點名稱。

- SCSI 隔離代理程式現在會確認是否已安裝 sg_persist。

- DRAC5 隔離代理程式現在能夠正確處理模組名稱。

- 如果看起來 QDisk 共用儲存空間的 I/O 已懸置，它現在會記錄警告訊息。

- fence_apc 不會再發生 pexpect 例外狀況失敗。

- 現在使用「cman_tool leave remove」從叢集中移除節點可正確減少 expected_votes 與 quorum。

- 已修正 cman 中的信號洩漏問題。

- 當節點沒有成員位置時，「cman_tool 節點 -F 名稱」不會再發生分割錯誤。

增強功能：

- 支援：ePowerSwitch 8+ 與 LPAR/HMC v3 裝置、Cisco MDS 9124 與 MDS 9134 SAN 交換器、virsh 隔離代理程式，以及與 cman 之間的廣播通訊。

- 已將 fence_scsi 限制新增至 fence_scsi 手冊頁面。

注意：需要 openais 和 pexpect 更新。

在 fence_egenera、fence_apc 和 fence_apc_snmp 中發現多個不安全的暫存檔使用瑕疵。本機攻擊者可利用這些瑕疵，透過符號連結攻擊，覆寫可由執行這些公用程式的受害者寫入的任意檔案。(CVE-2008-4192、CVE-2008-4579)

此更新也可修正下列錯誤：

- fence_apc_snmp 現於隔離後等待五秒，即可正確取得狀態。(BZ#494587)

- fence_drac5 help 輸出現可顯示正確的命令。(BZ#498870)

- fence_scsi_test.pl 現可在執行前驗證 sg_persist 是否位於路徑內。(BZ#500172)

- fence_drac5 現可與其他代理程式更加一致，且使用 module_name 而不使用 modulename。(BZ#500546)

- fence_apc 和 fence_wti 不會再發生 pexpect 例外狀況失敗。(BZ#501890、BZ#504589)

- 選項遺漏時，fence_wti 不再發出反向追蹤。(BZ#508258)

- fence_sanbox2 現可在隔離後正確取得狀態。(BZ#510279)

- 在不具 telnet 的情況下使用 fence_wti 時，隔離不會再執行失敗。(BZ#510335)

- 多種裝置的 fence_scsi get_scsi_devices 不再發生懸置。(BZ#545193)

- fence_ilo 使用 ilo2 韌體 1.70 重新開機不會再失敗。(BZ#545682)

- 修正 fence_ilo 在某些實作中無法重新開機的問題。(BZ#576036)

- 若使用者不具電源權限，則 ence_ilo 不再擲回例外狀況。(BZ#576178)

此外，此更新還新增了下列增強功能：

- 新增啟用 SSH 的 RSA II 隔離裝置支援。(BZ#476161)

- APC 隔離代理程式現可使用非 root 帳戶。(BZ#491643)

ID	名稱	產品	系列	已發布	已更新	嚴重性
63894	RHEL 5 : cman (RHSA-2009:1341)	Nessus	Red Hat Local Security Checks	2013/1/24	2021/1/14	medium
181082	Oracle Linux 5：cman (ELSA-2009-1341)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/12/14	medium
60650	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 cman	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
60958	Scientific Linux 安全性更新：SL4.x i386/x86_64 上的 fence	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium