リモートの Debian 9 ホストには、dla-2886 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - SchedMD Slurm 17.11.x、 18.08.0から 18.08.7、および 19.05.0では、SQL インジェクションが可能になります。 (CVE-2019-12838)

  - Slurm 19.05.7より前の 19.05.xおよび 20.02.3より前の 20.02.xでは、まれなケースですが、メッセージ集約が有効になっている場合、代替パスまたはチャネルを介した認証バイパスが可能です。競合状態により、ユーザーが任意のユーザーとしてプロセスを起動できます。 (CVE-2020-12693)

  - Slurm 19.05.8より前および 20.02.6より前の 20.xには、PMIx MPI プラグインに RPC バッファオーバーフローがあります。
    (CVE-2020-27745)

  - SchedMD Slurm 20.02.7より前および 20.11.7より前の 20.03.xから 20.11.xでは、SlurmUser としてのリモートコードの実行を許可します。これは、PrologSlurmctld または EpilogSlurmctld スクリプトを使用することにより、環境が不適切に処理されてしまうためです。
    (CVE-2021-31215)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-2886-1：slurm-llnl - LTS セキュリティ更新

critical Nessus プラグイン ID 156773

バージョン 1.3