現已提供適用於 Red Hat Enterprise Linux 6 的更新版 pacemaker 套件，可修正一個安全性問題、數個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有低安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Pacemaker 是高可用性叢集資源管理員，搭配一個功能強大的原則引擎。

特定情況下，在 Pacemaker 執行驗證和處理遠端連線的方式中發現一個拒絕服務瑕疵。當 Pacemaker 設為允許遠端叢集資訊庫 (CIB) 組態或資源管理，遠端攻擊者可利用此瑕疵造成 Pacemaker 無限期封鎖 (阻止 Pacemaker 服務其他要求)。(CVE-2013-0281)

注意：Red Hat Enterprise Linux 6 的預設 Pacemaker 組態已停用遠端 CIB 管理功能。

pacemaker 套件已升級至上游版本 1.1.10，相較於先前的版本，此版本可提供數個問題修正與增強功能：

* Pacemaker 不再假定未知的 cman 節點會安全地停止。

* 核心轉儲存檔案現在會將所有結束程式碼轉換至正的‘errno’值中。

* Pacemaker 確定會在過多隔離失敗後返回穩定狀態，且如果宣告為隔離的節點仍在作用中，則會起始關機程序。

* crm_error 工具新增了列舉及列印錯誤符號功能。

* crm_resource 命令允許報告個別資源，並實作‘--ban’選項，用於將資源從節點中移走。‘--clear’選項已取代 '--unmove' 選項。此外，使用‘--force’選項時，crm_resource 現在支援 OCF 追蹤。

* IPC 機制還原了 haclient 群組成員連線至叢集的功能。

* 原則引擎程序允許在沒有 quorum 的情況下隔離目前成員裡的作用中節點。

* 原則引擎現在會在顯示匿名複製狀態時隱藏無意義的 ID、支援單一節點的維護模式，並在復原的資源起作用前正確處理這些資源。

* 系統現在會檢查 XML 組態檔是否有非列印字元，並在匯出 XML 文字時取代為其八進位對應內容。
此外，更多可靠的緩衝區配置策略也已實作，可防止鎖定。

(BZ#987355)

其他錯誤修正：

* ‘crm_resource --move’命令設計用於不可部分完成的資源，且無法處理存在於多個節點上的複本、主機或從屬之資源。因此，crm_resource 無法取得足夠資訊來移動資源，且並未執行任何動作。‘--ban’和‘--clear’選項已新增，以便允許系統管理員明確地指示叢集。現在可如預期在叢集中導覽複本、主機和從屬資源。(BZ#902407)

* 系統上沒有保留 hacluster 使用者帳戶的使用者識別碼 (UID) 或群組識別碼 (GID) 號碼。因此，在安裝處理程序期間，系統隨機挑選了 UID 和 GID 值。
UID 和 GID 號碼 189 已為 hacluster 保留，且現在一致地用於所有安裝。(BZ#908450)

* 特定叢集使用了不符合 'uname -n' 命令輸出的節點主機名稱。因此，crm_standby 和 crm_failcount 命令使用的預設節點名稱錯誤，且造成叢集忽略系統管理員的更新。現在使用的是 crm_node 命令，而非 helper 指令碼中的 uname 公用程式。因此，叢集可如預期般表現。(BZ#913093)

* 由於錯誤的傳回碼處理，更新的組態無法套用時，applycrm_mon 公用程式的內部復原邏輯沒有執行，進而導致宣告失敗。現在系統會正確檢查傳回程式碼，且現可透明地處理預期錯誤狀態的復原。(BZ#951371)

* 與 Pacemaker 結合時，cman 的自動解除隔離功能失敗。已新增 Pacemaker 的自動解除隔離支援，且不會再發生非預期的行為。(BZ#996850)

建議所有 pacemaker 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。

遠端 Oracle Linux 6 主機上安裝的套件受到 ELSA-2013-1635 公告中提及的弱點影響。

  - 當啟用遠端叢集資訊庫 (CIB) 組態或資源管理時，Pacemaker 1.1.10 版不會限制連線至封鎖通訊端的持續時間，進而允許遠端攻擊者造成拒絕服務 (連線封鎖)。(CVE-2013-0281)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 4 主機已安裝受 AXSA:2014-039:01 公告中所提及一個弱點影響的套件。

    Pacemaker 是適用於 Linux-HA (Heartbeat) 和/或 Corosync 的進階、可擴充的 High-Availability 叢集資源管理員。
    它支援具有重要資源和相依性管理功能的 n 節點叢集。
    它將在初始化、機器啟動或關閉時、相關資源失敗時執行指令碼且可設定為定期檢查資源健康情況。
    可用的 rpmbuild 重建選項 --with(輸出)heartbeat cman corosync doc publican snmp esmtp pre_release 此版本修正的安全性問題
     CVE-2013-0281 Pacemaker 1.1.10啟用遠端叢集資訊庫 (CIB) 組態或資源管理時未限制連線至封鎖通訊端的持續時間進而允許遠端攻擊者造成拒絕服務 (連線封鎖)。
    修正的錯誤：
     已升級至上游版本 1.1.10。
     Pacemaker 不再假定未知的 cman 節點會安全地停止。
     核心轉儲存檔案現在會將所有結束程式碼轉換成正的 'errno' 值。
     Pacemaker 確保會在過多隔離失敗後返回穩定狀態並在宣告為隔離的節點仍處於作用中時啟動關機。
     crm_error 工具現可支援列出及列印錯誤符號。
     crm_resource 命令允許重新探查個別資源並實作 --ban 選項以將資源從節點中移走。 --clear 選項已取代 --unmove 選項。此外使用 --force 選項時crm_resource 現在支援 OCF 追踪。
     IPC 機制可還原 haclient 群組成員連線至叢集的功能。
     原則引擎程序允許在沒有 quorum 的情況下隔離目前成員裡的作用中節點。
     原則引擎現在會在顯示匿名複製狀態時隱藏無意義的 ID、支援單一節點的維護模式，並在復原的資源起作用前正確處理這些資源。
     系統現在會檢查 XML 設定檔是否有非列印字元，並在匯出 XML 文字時取代為其八進位對應內容。此外也已實作更可靠的緩衝區配置策略來防止鎖定。
     之前Pacemaker 管理的 lsb 指令碼在停止時並未正確取消其重複出現的監控作業。因此在資源成功停止之後監控作業會失敗。此錯誤已經修正在停止 lsb 資源之前會正確取消重複出現的監視器作業。
    增強功能：
     已將 --ban 和 --clear 選項新增至 crm_resource 命令以便現在可如預期在叢集內導覽複本、主機和從屬資源。這可讓 crm_resource 按照設計移動資源。
     之前的 hacluster 不會保留 UID 或 GID。已為 hacluster 保留的數字 189現已用於所有安裝。
     之前crm_standby 和 crm_failcount 命令使用的預設節點名稱並不總是符合特定叢集節點的主機名稱 (uname -n)導致叢集忽略更新。指令碼現在使用 crm_node 命令而非 uname。
     修正傳回碼的處理預期錯誤狀態的複原現在變得透明。
     Pacemaker 中已新增自動化解除隔離與 Pacemaker 結合時cman 的自動化解除隔離不再失敗。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

特定情況下，在 Pacemaker 執行驗證和處理遠端連線的方式中發現一個拒絕服務瑕疵。當 Pacemaker 設為允許遠端叢集資訊庫 (CIB) 組態或資源管理，遠端攻擊者可利用此瑕疵造成 Pacemaker 無限期封鎖 (阻止 Pacemaker 服務其他要求)。(CVE-2013-0281)

注意：Scientific Linux 6 中的預設 Pacemaker 組態已停用遠端 CIB 管理功能。

pacemaker 套件已升級至上游版本 1.1.10，相較於先前的版本，此版本可提供數個問題修正與增強功能：

- Pacemaker 不再假定未知的 cman 節點會安全地停止。

- 核心轉儲存檔案現在會將所有結束程式碼轉換成正的 'errno' 值。

- Pacemaker 確定會在過多隔離失敗後返回穩定狀態，且如果宣告為隔離的節點仍在作用中，則會起始關機程序。

- crm_error 工具可新增列示及列印錯誤符號的功能。

- crm_resource 命令允許報告個別資源，並實作 '--ban' 選項，以便將資源從節點中移走。'--clear' 選項已取代 '--unmove' 選項。此外，使用‘--force’選項時，crm_resource 現在支援 OCF 追蹤。

- IPC 機制可還原 haclient 群組成員連線至叢集的功能。

- 原則引擎程序允許在沒有 quorum 的情況下隔離目前成員裡的作用中節點。

- 原則引擎現在會在顯示匿名複製狀態時隱藏無意義的 ID、支援單一節點的維護模式，並在復原的資源起作用前正確處理這些資源。

- 系統現在會檢查 XML 組態檔是否有非列印字元，並在匯出 XML 文字時取代為其八進位對應內容。此外，更多可靠的緩衝區配置策略也已實作，可防止鎖定。

其他錯誤修正：

- 'crm_resource --move' 命令設計用於不可部分完成的資源，且無法處理存在於多個節點上的複本、主機或從屬之資源。
 因此，crm_resource 無法取得足夠資訊來移動資源，且並未執行任何動作。‘--ban’和‘--clear’選項已新增，以便允許系統管理員明確地指示叢集。現在可如預期在叢集中導覽複本、主機和從屬資源。

- 系統上沒有保留 hacluster 使用者帳戶的使用者識別碼 (UID) 或群組識別碼 (GID)。因此，在安裝處理程序期間，系統隨機挑選了 UID 和 GID 值。
 UID 和 GID 號碼 189 已為 hacluster 保留，且現在一致地用於所有安裝。

- 特定叢集使用了不符合 'uname -n' 命令輸出的節點主機名稱。因此，crm_standby 和 crm_failcount 命令使用的預設節點名稱錯誤，且造成叢集忽略系統管理員的更新。現在使用的是 crm_node 命令，而非 helper 指令碼中的 uname 公用程式。
 因此，叢集可如預期般表現。

- 由於錯誤的傳回碼處理，更新的組態無法套用時，不會執行 applycrm_mon 公用程式的內部復原邏輯，進而導致宣告失敗。現在系統會正確檢查傳回程式碼，且現可透明地處理預期錯誤狀態的復原。

- 與 Pacemaker 結合時，cman 的自動解除隔離功能失敗。已新增 Pacemaker 的自動解除隔離支援，且不會再發生非預期的行為。

ID	名稱	產品	系列	已發布	已更新	嚴重性
79169	CentOS 6 : pacemaker (CESA-2013:1635)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	medium
181104	Oracle Linux 6：pacemaker (ELSA-2013-1635)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
289451	MiracleLinux 4 : pacemaker-1.1.10-14.AXS4.2 (AXSA:2014-039:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
71197	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 pacemaker	Nessus	Scientific Linux Local Security Checks	2013/12/4	2021/1/14	medium
71012	RHEL 6 : pacemaker (RHSA-2013:1635)	Nessus	Red Hat Local Security Checks	2013/11/21	2021/1/14	medium

偵測

搜尋 Plugin

medium

high

high

medium

medium