クラスターリソースマネージャーであるpacemakerで、複数のセキュリティ脆弱性が対処されました。

CVE-2018-16877

pacemakerのクライアントサーバー認証の実装方法に欠陥が見つかりました。ローカルの攻撃者はこの欠陥を利用し、他のIPCの弱点と組み合わせて、ローカルの権限昇格に成功する可能性があります。

CVE-2018-16878

検証が不十分なために制御されていないプロセスが優先されると、サービス拒否が発生する可能性があります。

CVE-2020-25654

pacemakerにACL回避の欠陥が見つかりました。クラスターとhaclientグループにローカルアカウントを持つ攻撃者が、さまざまなデーモンとのIPC通信を直接使用して、設定を実行した場合，ACLによって阻止される特定のタスクを実行する可能性があります。

Debian 9 'Stretch'では、これらの問題はバージョン1.1.24-0+deb9u1で修正されています。

お使いのpacemakerパッケージをアップグレードすることを推奨します。

pacemakerの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/pacemaker

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-2519-1 : pacemakerのセキュリティ更新

high Nessus プラグイン ID 144814

バージョン 1.4