远程iraclelinux 4 主机上存在安装的程序包该程序包受到 AXSA:2014-039:01 公告中提及的漏洞的影响。

    Pacemaker 是用于 Linux-HA (Heartbeat) 和/或 Corosync 的高级可扩展高可用性群集资源管理器。
    它支持 n 节点群集，并具有重要的资源和依存关系管理功能。
    它将在初始化、计算机启动或关闭时、相关资源失败时运行脚本，并且可以配置为定期检查资源运行状况。
    可用的 rpmbuild 重建选项 --with已输出heartbeat cman corosync doc publican snmp esmtp pre_release此版本修复的安全问题
     CVE-2013-0281 Pacemaker 1.1.10在启用远程 Cluster Information Base (CIB) 配置或资源管理的情况下未限制与阻断套接字的连接持续时间这可允许远程攻击者造成拒绝服务连接阻断。
    修复的缺陷：
     已升级到上游版本 1.1.10。
     Pacemaker 不再假设未知的 cman 节点会安全停止。
     核心转储文件现在将所有退出代码转换为“errno”正值。
     Pacemaker 确保在过多次隔离失败后返回到稳定状态；如果声称已隔离的节点仍处于活动状态，则 Pacemaker 会启动关闭操作。
     crm_error 工具现在支持列出和打印错误符号。
     crm_resource 命令可重新探测个别资源并实现 --ban 选项以将资源移出节点。 --clear 选项已替换 --unmove 选项。此外使用 --force 选项时crm_resource 现在支持 OCF 跟踪。
     IPC 机制恢复了 haclient 组成员连接到群集的功能。
     策略引擎后台程序允许在没有 quorum 的情况下隔离当前成员关系中的活动节点。
     现在显示匿名克隆状态时，策略引擎禁止无意义的 ID，支持单一节点的维护模式，并且正确处理在操作之前恢复的资源。
     现在会检查 XML 配置文件文件是否包含非打印字符，在导出 XML 文本时将其替换为同等的八进制字符。此外还实现了更可靠的缓冲区分配策略以防止锁定。
     以前Pacemaker 管理的 lsb 脚本在停止时未正确取消其重复的监控操作。因此，在资源成功停止后，监控操作会失败。已修复此缺陷现在可在 lsb 资源停止前正确取消重复发生的监视器操作。
    增强：
     为 crm_resource 命令添加了 --ban 和 --clear 选项以便现在可在群集内按预期导航克隆、主控和从属资源。这允许 crm_resource 按照设计移动资源。
     以前hacluster 未预留 UID 或 GID。已为 hacluster 保留的编号 189现在用于所有安装。
     以前crm_handby 和 crm_failcount 命令使用的默认节点名称与某些群集节点的主机名 (uname -n) 匹配这会导致群集忽略更新。脚本现在使用 crm_node 命令而不是 uname。
     修复了返回代码的处理预期错误状态的恢复现在是透明的。
     Pacemaker 中的自动取消隔离已添加cman 的自动取消隔离在与 Pacemaker 结合使用时不再失败。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

在 Pacemaker 于某些情况下执行认证和处理远程连接的方式中发现拒绝服务缺陷。当 Pacemaker 配置为允许远程群集信息库 (CIB) 配置或资源管理时，远程攻击者可利用此缺陷导致 Pacemaker 无限期阻断（阻止其服务于其他请求）。(CVE-2013-0281)

注意：Scientific Linux 6 中的默认 Pacemaker 配置禁用了远程 CIB 管理功能。

pacemaker 程序包已升级到上游版本 1.1.10，其提供了对之前版本的多项缺陷补丁和增强：

- Pacemaker 不再假设未知的 cman 节点会安全停止。

- 核心转储文件现在将所有退出代码转换为“errno”正值。

­ Pacemaker 确保隔离失败次数过多后恢复到稳定状态，并且在要求隔离的节点仍然活动时启动关机。

­ crm_error 工具添加了列出和打印错误符号的功能。

- crm_resource 命令可重新探测个别资源，并且实现“--ban”选项以让资源离开节点。“--clear”选项已替换“--unmove”选项。此外，现在使用“--force”选项时，crm_resource 支持 OCF 跟踪。

- IPC 机制恢复了 haclient 组成员连接到群集的功能。

- 策略引擎后台程序允许在没有 quorum 的情况下隔离当前成员关系中的活动节点。

- 现在显示匿名克隆状态时，策略引擎禁止无意义的 ID，支持单一节点的维护模式，并且正确处理在操作之前恢复的资源。

- 现在会检查 XML 配置文件文件是否包含非打印字符，在导出 XML 文本时将其替换为同等的八进制字符。此外，为防止锁定，已实现更可靠的缓冲区分配策略。

其他缺陷补丁：

- “crm_resource --move”命令设计用于原子资源，无法处理多个节点上存在的克隆资源、主资源或从资源。
 结果，crm_resource 无法获取足够的信息来移动资源，而且不执行任何操作。已添加“--ban”和“--clear”选项，允许管理员明确指示群集。克隆资源、主资源和从资源现在可在群集内按预期导航。

- hacluster 用户帐户没有在系统中保留用户标识 (UID) 或群组标识 (GID) 号。因此，在安装过程中随机选择 UID 和 GID 值。
 UID 和 GID 编号 189 以前为 hacluster 保留，现在统一用于所有安装。

- 某些群集使用的节点主机名与“uname -n”命令的输出不匹配。因此，crm_standby 和 crm_failcount 命令的默认节点不正确，导致群集忽略管理员的更新。现在帮助程序脚本中使用 crm_node 命令代替 uname 实用工具。
 因此，群集按预期运行。

- 由于返回代码处理错误，当更新后的配置应用失败时，不执行 crm_mon 实用工具的内部恢复逻辑，从而导致断言失败。现在可正确检查返回代码，预期错误状态的恢复也会透明处理。

- cman 的自动取消隔离功能在与 Pacemaker 结合使用时失败。Pacemaker 中已添加自动取消隔离支持，不需要的行为不会再发生。

远程 Oracle Linux 6 主机上安装的程序包受到 ELSA-2013-1635 公告中提及的漏洞的影响。

  - 在启用了远程群集信息库 (CIB) 配置或资源管理时，Pacemaker 1.1.10 不会限制阻止套接字的连接持续时间，远程攻击者可借此造成拒绝服务（连接阻挡）。(CVE-2013-0281)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 pacemaker 程序包修复了一个安全问题和多个缺陷并添加了多种增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Pacemaker 是一个高可用性群集资源管理器，内含强大的策略引擎。

在 Pacemaker 于某些情况下执行认证和处理远程连接的方式中发现拒绝服务缺陷。当 Pacemaker 配置为允许远程群集信息库 (CIB) 配置或资源管理时，远程攻击者可利用此缺陷导致 Pacemaker 无限期阻断（阻止其服务于其他请求）。(CVE-2013-0281)

注意：Red Hat Enterprise Linux 6 中的默认 Pacemaker 配置禁用了远程 CIB 管理功能。

pacemaker 程序包已升级到上游版本 1.1.10，其提供了对之前版本的多项缺陷补丁和增强：

* Pacemaker 不再假设未知的 cman 节点会安全停止。

* 核心转储文件现在将所有退出代码转换为“errno”正值。

* Pacemaker 确保隔离失败次数过多后恢复到稳定状态，并且在要求隔离的节点仍然活动时启动关机。

* crm_error 工具添加了列出和打印错误符号的功能。

* crm_resource 命令可重新探测个别资源，并且实现“--ban”选项以让资源离开节点。“--clear”选项已替换“--unmove”选项。此外，现在使用“--force”选项时，crm_resource 支持 OCF 跟踪。

* IPC 机制恢复了 haclient 组成员连接到群集的功能。

* 策略引擎后台程序允许在没有 quorum 的情况下隔离当前成员关系中的活动节点。

* 现在显示匿名克隆状态时，策略引擎禁止无意义的 ID，支持单一节点的维护模式，并且正确处理在操作之前恢复的资源。

* 现在会检查 XML 配置文件文件是否包含非打印字符，在导出 XML 文本时将其替换为同等的八进制字符。
此外，为防止锁定，已实现更可靠的缓冲区分配策略。

(BZ#987355)

其他缺陷补丁：

*“crm_resource --move”命令设计用于原子资源，无法处理多个节点上存在的克隆资源、主资源或从资源。结果，crm_resource 无法获取足够的信息来移动资源，而且不执行任何操作。已添加“--ban”和“--clear”选项，允许管理员明确指示群集。克隆资源、主资源和从资源现在可在群集内按预期导航。(BZ#902407)

* hacluster 用户帐户没有在系统中保留用户标识 (UID) 或群组标识 (GID) 号。因此，在安装过程中随机选择 UID 和 GID 值。
UID 和 GID 编号 189 以前为 hacluster 保留，现在统一用于所有安装。(BZ#908450)

* 某些群集使用的节点主机名与“uname -n”命令的输出不匹配。因此，crm_standby 和 crm_failcount 命令的默认节点不正确，导致群集忽略管理员的更新。现在帮助程序脚本中使用 crm_node 命令代替 uname 实用工具。因此，群集按预期运行。(BZ#913093)

* 由于返回代码处理错误，当更新后的配置应用失败时，不执行 crm_mon 实用工具的内部恢复逻辑，从而导致断言失败。现在可正确检查返回代码，预期错误状态的恢复也会透明处理。(BZ#951371)

* cman 的自动取消隔离功能在与 Pacemaker 结合使用时失败。Pacemaker 中已添加自动取消隔离支持，不需要的行为不会再发生。(BZ#996850)

建议所有 pacemaker 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并且添加了上述增强。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
289451	iracleLinux 4pacemaker-1.1.10-14.AXS4.2 (AXSA:2014-039:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
71197	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 pacemaker	Nessus	Scientific Linux Local Security Checks	2013/12/4	2021/1/14	medium
181104	Oracle Linux 6：pacemaker (ELSA-2013-1635)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
79169	CentOS 6：pacemaker (CESA-2013:1635)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	medium
71012	RHEL 6：pacemaker (RHSA-2013:1635)	Nessus	Red Hat Local Security Checks	2013/11/21	2021/1/14	medium

检测

插件搜索

high

medium

high

medium

medium