远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-4781-2 公告中提及的多个漏洞影响。

  - 在低于 15.08.13 版、16.05.7 之前 16.x 版、17.02.0-pre4 之前的 17.x 版 Slurm 中，slurmd/req.c 中的 _prolog_error 函数在 slurmd 后台程序向用户通知计算节点上的 Prolog 失败方式上存在漏洞。该漏洞可允许用户取得系统上任意文件的控制权。所有对该漏洞的利用都取决于用户是否能够造成运行其作业的 Prolog 脚本失败（非零返回代码）或预见此情况。此问题影响从 0.6.0（2005 年 9 月）到现在的所有 Slurm 版本。防止利用此问题的变通方案是禁用 Prolog 脚本，或对其进行修改，使其始终返回 0（成功），然后使用 scontrol 对其进行调整，将节点设置为关闭，而不是依赖 slurmd 自动处理。如果您没有 Prolog 集，则不受此问题的影响。(CVE-2016-10030)

  - 低于 17.02.11 版和 17.11.7 之前的 17.1x.x 版的 SchedMD Slurm 错误处理了用户名（也称为 user_name 字段）和群组 ID（也称为 gid 字段）。(CVE-2018-10995)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Ubuntu 16.04 ESM：Slurm 漏洞 (USN-4781-2)

high Nessus 插件 ID 170923

版本 1.0