1 つのセキュリティの問題と複数のバグを修正し、2 つの強化を追加する更新済み pacemaker パッケージが、Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Pacemaker Resource Manager は、互いに連携してデータの整合性や、障害の際にアプリケーションの可用性を提供するテクノロジーのコレクションです。

クラスターリソースマネージャである pacemaker が、特定の状況で追加されたノードを評価する方法で欠陥が見つかりました。読み取り専用アクセスを持つユーザーが、他の既存のロールを自身に割り当て、次に他のユーザーにも権限を追加する可能性があります。(CVE-2015-1867)

pacemaker パッケージが Upstream バージョン 1.1.13 にアップグレードされ、以前のバージョンに対する多くのバグ修正と拡張機能が提供されます。（BZ#1234680）

この更新は以下のバグも修正します：

* Pacemaker クラスタに Apache リソースが含まれており、Apache の mod_systemd モジュールが有効な場合、systemd は Apache から送信された通知を拒否していました。その結果、システムログ内に次の形式でエラーが多数発生しました：

PID XXXX からの通知メッセージを受け取りましたが、PID YYYY に対する受け入れしか許可されていません

この更新により、上述の状況で lrmd デーモンは「NOTIFY_SOCKET」変数をオフにし、これらのエラーがログに記録されることはありません。（BZ#1150184）

* 以前は、リモートゲストのノードを Pacemaker クラスター内のグループリソースの 1 つとして指定することで、ノードが動作を停止しました。この更新は Pacemaker グループリソース内のリモートゲストに対するサポートを追加し、上述の問題が発生することはありません。（BZ#1168637）

* Pacemaker クラスター内のリソースが開始に失敗すると、Pacemaker はリソースの最後に失敗した時間を更新し、「on-fail=ignore」オプションが使用されていても、その失敗カウントを増加させていました。これにより、リソース開始の失敗が発生すると、意図しないリソース移行を引き起こすことがありました。現在Pacemaker は、「on-fail=ignore」の使用中は失敗カウントを更新しなくなりました。その結果、失敗はクラスターステータス出力に表示されますが、適切に無視されるようになり、リソース移行を引き起こすことはありません。（BZ#1200849）

* 以前は、Pacemaker は pcmk_host_map 文字列を解析する際、セミコロン（;）を区切り文字としてサポートしていましたが、pcmk_host_list 文字列を解析する場合はサポートしていませんでした。継続的なユーザーエクスペリエンスを保証するために、 pcmk_host_list を解析する際もセミコロンが区切り文字としてサポートされるようになりました。（BZ#1206232）

また、この更新は以下の拡張機能も追加します：

* Pacemaker のロケーション制約に「resource-discovery=never」オプションがある場合、Pacemaker は指定されたサービスが指定されたノード上で実行されているかどうかを定義しようとしません。さらに、与えられたリソースに対する複数のロケーション制約が「resource-discovery=exclusive」を指定する場合、Pacemaker はこれらの制約で、指定されたノード上でのみリソースディスカバリを試行します。このため、操作の試行がエラーまたはその他の望ましくない動作につながるノード上で、Pacemaker はリソースディスカバリをスキップすることができます。（BZ#1108853）

* 複数のノードが同時にクラスターリソースにアクセスし、データ破損を引き起こすことを防ぐために、冗長電源供給に対するフェンシングの構成手順が簡素化されました。
詳細については、High Availability Add-On Reference（高可用性アドオン参照）マニュアルの『Fencing：Configuring STONITH』の章を参照してください。（BZ#1206647）

* 「crm_mon」および「pcs_status」コマンドの出力がより明確かつ簡潔に修正され、多数のリモートノードおよびクローンされたリソースを持つ Pacemaker クラスターのステータスを報告する際、読み取りがより容易になります。（BZ#1115840）

pacemaker の全ユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題の修正およびこれらの拡張機能の追加を行うことが推奨されます。

クラスターリソースマネージャである pacemaker が、特定の状況で追加されたノードを評価する方法で欠陥が見つかりました。読み取り専用アクセスを持つユーザーが、他の既存のロールを自身に割り当て、次に他のユーザーにも権限を追加する可能性があります。(CVE-2015-1867)

pacemaker パッケージが Upstream バージョン 1.1.13 にアップグレードされ、以前のバージョンに対する多くのバグ修正と拡張機能が提供されます。

この更新は以下のバグも修正します：

- Pacemaker クラスターに Apache リソースが含まれており、Apache の mod_systemd モジュールが有効な場合、systemd は Apache によって送信された通知を拒否しました。その結果、システムログ内に次の形式でエラーが多数発生しました：

PID XXXX からの通知メッセージを受け取りましたが、PID YYYY に対する受け入れしか許可されていません

この更新により、上述の状況で lrmd デーモンは「NOTIFY_SOCKET」変数をオフにし、これらのエラーがログに記録されることはありません。

- 以前は、リモートゲストノードを Pacemaker クラスター内のグループリソースの一部として指定すると、ノードが機能を停止しました。この更新は Pacemaker グループリソース内のリモートゲストに対するサポートを追加し、上述の問題が発生することはありません。

- Pacemaker クラスター内のリソースが開始に失敗すると、Pacemaker はリソースの最後に失敗した時刻を更新し、「on-fail=ignore」オプションが使用されていても、その失敗カウントを増加しました。これにより、リソース開始の失敗が発生すると、意図しないリソース移行を引き起こすことがありました。現在Pacemaker は、「on-fail=ignore」の使用中は失敗カウントを更新しなくなりました。その結果、失敗はクラスターステータス出力に表示されますが、適切に無視されるようになり、リソース移行を引き起こすことはありません。

- 以前は、Pacemaker は pcmk_host_map 文字列を解析する際、セミコロン（;）を区切り文字としてサポートしましたが、pcmk_host_list 文字列を解析する場合はサポートしませんでした。
 継続的なユーザーエクスペリエンスを保証するために、 pcmk_host_list を解析する際もセミコロンが区切り文字としてサポートされるようになりました。

また、この更新は以下の拡張機能も追加します：

- Pacemaker のロケーション制約に「resource-discovery=never」オプションがある場合、Pacemaker は、指定されたサービスが指定されたノードで実行されているかを調べようとしなくなりました。さらに、所定のリソースに対する複数のロケーション制約によって「resource-discovery=exclusive」が指定される場合、Pacemaker は、これらの制約で指定されたノードでのみ、リソースディスカバリを試行します。このため、操作の試行がエラーまたはその他の望ましくない動作につながるノード上で、Pacemaker はリソースディスカバリをスキップすることができます。

- 複数のノードが同時にクラスターリソースにアクセスし、データ破損を引き起こすことを防ぐために、冗長電源供給に対するフェンシングの構成手順が簡素化されました。詳細については、High Availability Add-On Reference（高可用性アドオン参照）マニュアルの『Fencing：Configuring STONITH』の章を参照してください。

- 「crm_mon」および「pcs_status」コマンドの出力がより明確で簡潔なように変更され、多数のリモートノードおよびクローンされたリソースがある Pacemaker クラスターのステータスを報告する際、読み取りがより簡単になっています。

CVE-2015-1867 のセキュリティ修正：pacemaker-1.1.12 に存在するとされる問題が、pacemaker-1.1.13 で修正されました。* * * pacemaker-1.1.13-3.fc{21,22,23} - Pacemaker-1.1.13 に更新してください リリース後 + パッチ（同期）- 選択された Nagios プラグインのサポートを有効にする nagios-plugins-metadata サブパッケージを、Pacemaker で認識されたリソースとして追加します - いくつかの特定の改善：無関係なものをドロップし、インクルード/エクスクルードファイルと依存するものリハッシュし、チェックスクリプトレットを追加し、最新のパッケージによる実行を反映し、軽微なクリーンアップを実行します（大部分は別の仕様から導入されます）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

1 つのセキュリティ問題といくつかのバグを修正する更新済み pacemaker パッケージが、 Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは「参照」セクションの CVE リンクで入手できます。

Pacemaker Resource Manager は、互いに連携してデータの整合性や、障害の際にアプリケーションの可用性を提供するテクノロジーのコレクションです。

クラスターリソースマネージャである pacemaker が、特定の状況で追加されたノードを評価する方法で欠陥が見つかりました。読み取り専用アクセスを持つユーザーが、他の既存のロールを自身に割り当て、次に他のユーザーにも権限を追加する可能性があります。(CVE-2015-1867)

この更新は以下のバグも修正します：

* 競合状態のため、緩やかにシャットダウンしたノードが、クラスターに再び接合するのが困難になることがあります。その結果、ノードがオンラインになり、クラスターによってただちに再度シャットダウンされる可能性があります。このバグが修正され、｢shutdown｣属性は現在は適切にクリアされています。（BZ#1198638）

* この更新の前は、pacemaker ユーティリティが、 Red Hat Enterprise Linux 6.6 に対するシステム更新の後に、 attrd デーモンを予期せず停止させることがありました。このバグは修正されており、pacemaker を起動しても、 attrd がクラッシュすることはなくなりました。（BZ#1205292）

* 以前は、pacemaker ユーティリティのアクセスコントロールリスト（ACL）が、読み取り専用権限での Cluster Information Base（CIB）へのロール割り当てを許可していました。この更新では、ACL が強制され、書き込み権限のないユーザーによってバイパスされなくなるため、このバグが修正されました。（BZ#1207621）

* この更新の前は、ClusterMon（crm_mon）ユーティリティは、｢-E｣パラメーターで外部エージェントスクリプトを引き起こし、 pacemaker ユーティリティが使用された時に Cluster Information Base（CIB）をモニターすることがありませんでした。このバグを修正するパッチが提供され、現在は、｢-E｣パラメーターが使用されると、crm_mon がエージェントスクリプトを呼び出します。（BZ#1208896）

Pacemaker のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージにアップグレードし、これらの問題を修正することが推奨されます。

リモートホストは、GLSA-201710-08（Pacemaker：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がPacemakerで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が任意のコードを実行したり、ローカルの攻撃者が権限昇格したりする可能性があります。回避策：現時点では、既知の回避策はありません。

クラスターリソースマネージャである pacemaker が、特定の状況で追加されたノードを評価する方法で欠陥が見つかりました。読み取り専用アクセスを持つユーザーが、他の既存のロールを自身に割り当て、次に他のユーザーにも権限を追加する可能性があります。(CVE-2015-1867)

この更新は以下のバグも修正します：

- 競合状態のため、緩やかにシャットダウンしたノードが、クラスターに再び接合するのが困難になることがあります。その結果、ノードがオンラインになり、クラスターによってただちに再度シャットダウンされる可能性があります。このバグが修正され、｢shutdown｣属性は現在は適切にクリアされています。

- この更新の前は、pacemaker ユーティリティが、Scientific Linux 6.6 に対するシステム更新の後に、attrd デーモンを予期せず停止させることがありました。このバグは修正されており、pacemaker を起動しても、 attrd がクラッシュすることはなくなりました。

- 以前は、pacemaker ユーティリティのアクセスコントロールリスト（ACL）が、読み取り専用権限での Cluster Information Base（CIB）へのロール割り当てを許可していました。この更新では、ACL が強制され、書き込み権限のないユーザーによってバイパスされなくなるため、このバグが修正されました。

- この更新の前は、ClusterMon（crm_mon）ユーティリティは、｢-E｣パラメーターで外部エージェントスクリプトを引き起こし、pacemaker ユーティリティが使用された時に Cluster Information Base（CIB）をモニターすることがありませんでした。このバグを修正するパッチが提供され、現在は、｢-E｣パラメーターが使用されると、crm_mon がエージェントスクリプトを呼び出します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
86987	RHEL 7 : pacemaker（RHSA-2015:2383）	Nessus	Red Hat Local Security Checks	2015/11/20	2019/10/24	high
87568	Scientific Linux セキュリティ更新：SL7.x x86_64 上の pacemaker	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	high
89464	Fedora 23：pacemaker-1.1.13-3.fc23（2015-f9864ecd8f）	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
89444	Fedora 21：pacemaker-1.1.13-3.fc21（2015-e5e36bbb87）	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
89462	Fedora 22：pacemaker-1.1.13-3.fc22（2015-f6860d8f9d）	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
84946	RHEL 6 : pacemaker（RHSA-2015:1424）	Nessus	Red Hat Local Security Checks	2015/7/23	2021/2/5	high
103726	GLSA-201710-08：Pacemaker：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/10/9	2021/1/11	high
87155	CentOS 7：pacemaker （CESA-2015:2383）	Nessus	CentOS Local Security Checks	2015/12/2	2021/1/4	high
85020	CentOS 6：pacemaker （CESA-2015:1424）	Nessus	CentOS Local Security Checks	2015/7/28	2021/1/4	high
85204	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の pacemaker	Nessus	Scientific Linux Local Security Checks	2015/8/4	2021/1/14	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high