远程iraclelinux 4 主机上存在安装的程序包该程序包受到公告 AXSA:2014-025:01 中提及的多个漏洞的影响。

    luci 程序包包含基于 Web 的高可用性群集配置应用程序。
    此版本修复的安全问题
     CVE-2013-4481 Luci 中的争用条件 0.26.0 在限制权限之前使用全局可读的权限创建 /var/lib/luci/etc/luci.ini从而允许本地用户读取该文件并获取敏感信息例如认证机密。
     CVE-2013-4482 Luci 中 python-paste-script即 paster中的不受信任搜索路径漏洞 0.26.0在使用 initscript 启动时允许本地用户通过 (1) 当前工作目录中的特洛伊木马 .egg-info 文件获取权限或 (2) 其父目录。
    修复的缺陷：
     已还原 Luci 处理整套代理参数的功能。之前放弃的已配置屏蔽设备参数现在按预期工作这包括 cmd_prompt、login_timeout、power_timeout、retry_on、shell_timeout 和 delay 的参数。
     Luci 能够与整套屏蔽设备配合使用。以前Dell iDRAC (idrac)、HP iLO2 (ilo2)、HP iLO3 (ilo3) 和 IBM Integrated Management Module (imm) 设备或代理无法正常工作并且包含它们的群集也不会正确工作。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

MagicLinux 4luci-0.26.0-48.AXS4 (AXSA:2014-025:01)

high Nessus 插件 ID 290111

版本 1.1