CentOS 6 / 7：pcs（CESA-2015:1700）

high Nessus プラグイン ID 86502

Language:

概要

リモート CentOS ホストに１つ以上のセキュリティ更新がありません。

説明

2 つのセキュリティ問題を修正する更新版の pcs パッケージが、Red Hat Enterprise Linux 6 と 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

pcs パッケージは、Pacemaker および Corosync ユーティリティ用のコマンドライン構成システムを提供します。

pcsd Web UI にコマンドインジェクションの欠陥が見つかりました。pcsd Web UI にログインしている被害者を騙して、特別に細工された URL にアクセスさせることができる攻撃者が、この欠陥を利用して、Web UI をホストしているサーバーの root 権限で任意のコードを実行する可能性があります。
(CVE-2015-5190)

pcsd Web UI バックエンドがユーザーリクエストの承認を実行する方法に、競合状態が見つかりました。攻撃者が、この欠陥を利用して、別のユーザーから発信されていると評価されるリクエストを送信して、攻撃者がより権限の大きいユーザーの権限で動作を実行できる可能性があります。(CVE-2015-5189)

これらの問題は、Red Hat の Tomáš Jelínek 氏により発見されました。

pcs の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。