更新后的 luci 程序包修复了两个安全问题和多个缺陷并添加了两项增强，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 安全响应团队已将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Luci 是基于 Web 的高可用性管理应用程序。

在初始化 luci 服务的方式中发现一个缺陷。如果系统管理员从本地用户可写的目录中启动 luci 服务，该用户可利用此缺陷以根用户或 luci 用户身份执行任意代码。(CVE-2013-4482)

在 luci 生成其配置文件的方式中发现一个缺陷。该文件创建为短时间全局可读，允许本地用户访问配置文件中存储的认证密钥。(CVE-2013-4481)

这些问题由 Red Hat 的 Jan Pokorný 发现。

这些更新后的 luci 程序包中包含大量缺陷补丁和两项增强。空间有限，无法在此公告中记载所有这些更改。有关这些最重要的变更的信息，用户可参阅在“参考”部分中链接的 Red Hat Enterprise Linux 6.5 技术札记。

建议所有 luci 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并且添加了上述增强。安装此更新后，luci 服务将自动重新启动。

远程iraclelinux 4 主机上存在安装的程序包该程序包受到公告 AXSA:2014-025:01 中提及的多个漏洞的影响。

    luci 程序包包含基于 Web 的高可用性群集配置应用程序。
    此版本修复的安全问题
     CVE-2013-4481 Luci 中的争用条件 0.26.0 在限制权限之前使用全局可读的权限创建 /var/lib/luci/etc/luci.ini从而允许本地用户读取该文件并获取敏感信息例如认证机密。
     CVE-2013-4482 Luci 中 python-paste-script即 paster中的不受信任搜索路径漏洞 0.26.0在使用 initscript 启动时允许本地用户通过 (1) 当前工作目录中的特洛伊木马 .egg-info 文件获取权限或 (2) 其父目录。
    修复的缺陷：
     已还原 Luci 处理整套代理参数的功能。之前放弃的已配置屏蔽设备参数现在按预期工作这包括 cmd_prompt、login_timeout、power_timeout、retry_on、shell_timeout 和 delay 的参数。
     Luci 能够与整套屏蔽设备配合使用。以前Dell iDRAC (idrac)、HP iLO2 (ilo2)、HP iLO3 (ilo3) 和 IBM Integrated Management Module (imm) 设备或代理无法正常工作并且包含它们的群集也不会正确工作。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在初始化 luci 服务的方式中发现一个缺陷。如果系统管理员从本地用户可写的目录中启动 luci 服务，该用户可利用此缺陷以根用户或 luci 用户身份执行任意代码。(CVE-2013-4482)

在 luci 生成其配置文件的方式中发现一个缺陷。该文件创建为短时间全局可读，允许本地用户访问配置文件中存储的认证密钥。(CVE-2013-4481)

安装此更新后，luci 服务将自动重新启动。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 luci 套件，可修正兩個安全性問題、數個錯誤，並新增兩個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Luci 是 Web 式高可用性管理應用程式。

在初始化 luci 服務的方式中發現一個瑕疵。如果系統管理員從某本機使用者可寫入的目錄啟動 luci 服務，該使用者可利用此瑕疵，以 root 或 luci 使用者的身分執行任意程式碼。(CVE-2013-4482)

在 luci 產生其組態檔的方式中發現一個瑕疵。建立的檔案為短時間內任何人皆可讀取，因而允許本機使用者取得儲存在組態檔中的驗證密碼。(CVE-2013-4481)

這些問題是由 Red Hat 的 Jan Pokorný 所發現。

這些更新版 luci 套件包含數個錯誤修正和兩個增強功能。因空間所限，無法在此公告中記錄所有這些變更。系統將使用者導向至＜參照＞一節中的 Red Hat Enterprise Linux 6.5 「技術提示」文件連結，以便其了解這些變更中最重要項目的資訊。

建議所有 luci 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。安裝此更新後，luci 服務將會自動重新啟動。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2013:1603 公告中提及的多個弱點影響。

    Luci 是 Web 式高可用性管理應用程式。

    在初始化 luci 服務的方式中發現一個瑕疵。如果系統管理員從本機使用者可寫入的目錄啟動 luci 服務，則該使用者可利用此瑕疵，以 root 或 luci 使用者身分執行任意程式碼。 (CVE-2013-4482)

    在 luci 產生其設定檔的方式中發現一個瑕疵。檔案已建立為短時間內任何人皆可讀取，進而允許本機使用者取得儲存在設定檔中的驗證密碼存取權。 (CVE-2013-4481)

    這些問題是由 Red Hat 的 Jan Pokorn 所發現。

    這些更新版 luci 套件包含數個錯誤修正和兩個增強功能。因空間所限，無法在此公告中記錄所有這些變更。系統將使用者導向至＜參照＞一節中的 Red Hat Enterprise Linux 6.5 「技術提示」文件連結，以便其了解這些變更中最重要項目的資訊。

    建議所有 luci 使用者皆升級至這些更新版套件，其中包含可更正這些問題的反向移植修補程式，並新增這些增強功能。安裝此更新後，luci 服務將會自動重新啟動。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2013:1603 公告中提及的多个漏洞的影响。

    Luci 是基于 Web 的高可用性管理应用程序。

    在初始化 luci 服务的方式中发现一个缺陷。如果系统管理员从本地用户可写入的目录启动 luci 服务，则该用户可利用此缺陷，以 root 或 luci 用户的身份执行任意代码。 (CVE-2013-4482)

    在 luci 生成其配置文件的方式中发现一个缺陷。文件创建为短时间内全局可读，允许本地用户获取存储在配置文件中的认证密码的访问权限。 (CVE-2013-4481)

    这些问题由 Red Hat 的 Jan Pokorn 发现。

    这些更新后的 luci 程序包中包含大量缺陷补丁和两项增强。空间有限，无法在此公告中记载所有这些更改。有关这些最重要的变更的信息，用户可参阅在“参考”部分中链接的 Red Hat Enterprise Linux 6.5 技术札记。

    建议所有 luci 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序，并且添加了上述增强。安装此更新后，luci 服务将自动重新启动。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 MiracleLinux 4 主機已安裝一個受到 AXSA:2014-025:01 公告中所提及的多個弱點影響的套件。

    luci 套件包含 Web 型高可用性叢集組態應用程式。
    此版本修正的安全性問題
     CVE-2013-4481 Luci 中的爭用情形 0.26.0 會先以任何人皆可讀取的權限建立 /var/lib/luci/etc/luci.ini然後再限制權限進而允許本機使用者讀取檔案並取得敏感資訊例如驗證密碼。
     CVE-2013-4482 Luci 的 python-paste-script (即 paster) 中的未受信任搜尋路徑弱點 0.26.0開始使用 init 指令碼時允許本機使用者透過 (1) 目前工作目錄中的特洛伊木馬程式 .egg-info 檔案取得權限(2) 其父目錄。
    修正的錯誤：
     Luci 使用完整代理程式參數集的功能已還原。先前捨棄的已設定隔離裝置參數現在可如預期運作這包括 cmd_prompt、login_timeout、power_timeout、retry_on、shell_timeout 和 delay 的參數。
     Luci 與一組完整隔離裝置搭配使用的功能。之前Dell iDRAC (idrac)、HP iLO2 (ilo2)、HP iLO3 (ilo3) 和 IBM Integrated Management Module (imm) 裝置或代理程式無法正常運作包含這些裝置的叢集也無法正常運作。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在初始化 luci 服務的方式中發現一個瑕疵。如果系統管理員從某本機使用者可寫入的目錄啟動 luci 服務，該使用者可利用此瑕疵，以 root 或 luci 使用者的身分執行任意程式碼。(CVE-2013-4482)

在 luci 產生其組態檔的方式中發現一個瑕疵。建立的檔案為短時間內任何人皆可讀取，因而允許本機使用者取得儲存在組態檔中的驗證密碼。(CVE-2013-4481)

安裝此更新後，luci 服務將會自動重新啟動。

リモートの Redhat Enterprise Linux 6 ホストには、RHSA-2013:1603 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Luci は、Web ベースの高可用性管理アプリケーションです。

    luci サービスを初期化する方法で、欠陥が見つかりました。システム管理者が、ローカルユーザーによる書き込みが可能なディレクトリから luci サービスを開始した場合、そのユーザーはこの欠陥を利用して、root または luci ユーザーとして任意のコードを実行する可能性があります。 （CVE-2013-4482）

    luci でその構成ファイルを生成する方法で、欠陥が見つかりました。ファイルは短時間であれば誰でも読み取ることができるように作成されており、ローカルユーザーが構成ファイルに保存されている認証シークレットにアクセスする可能性があります。 （CVE-2013-4481）

    これらの問題は、Red Hat の Jan Pokorn 氏により発見されました。

    これらの更新済み luci パッケージには、多数のバグ修正および 2 つの強化が含まれています。スペースの関係上、このアドバイザリにこれらの変更がすべて記載されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.5 テクニカルノートを参照してください。

    luci のすべてのユーザーには、これらの更新パッケージにアップグレードすることを、推奨します。これには、これらの問題を修正し、これらの強化を追加する、バックポートされたパッチが含まれています。この更新をインストールすると、 luci サービスが自動的に再起動されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

2 つのセキュリティ問題と複数のバグを修正し、2 つの強化を追加する、更新済み luci パッケージが、 Red Hat Enterprise Linux 6 で使用できるようになりました。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Luci は、Web ベースの高可用性管理アプリケーションです。

luci サービスを初期化する方法で、欠陥が見つかりました。システム管理者が luci サービスを、ローカルユーザーが書き込み可能なディレクトリから起動した場合、そのユーザーは、この欠陥を利用して、root または luci ユーザーとして任意のコードを実行することがあります。（CVE-2013-4482）

luci でその構成ファイルを生成する方法で、欠陥が見つかりました。ファイルは短期間誰でも読み取り可能に作成され、ローカルユーザーは、構成ファイルに保存されている認証用の秘密へのアクセス権を、取得できます。（CVE-2013-4481）

これら問題は、Red Hat の Jan Pokorný 氏により発見されました。

これらの更新済み luci パッケージには、多数のバグ修正および 2 つの強化が含まれています。スペースの関係で、変更すべてを文書化しこのアドバイザリに反映されているわけではありません。これらの変更のなかで最も重要なものについては、「参照」でリンクされている Red Hat Enterprise Linux 6.5 テクニカルノートを参照してください。

luci のすべてのユーザーには、これらの更新パッケージにアップグレードすることを、推奨します。これには、これらの問題を修正し、これらの強化を追加する、バックポートされたパッチが含まれています。この更新をインストールすると、 luci サービスが自動的に再起動されます。

リモートの MiracleLinux 4 ホストには、AXSA:2014-025:01 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    luci パッケージには、Web ベースの高可用性クラスター構成アプリケーションが含まれています。
    このリリースで修正されたセキュリティ問題
     CVE-2013-4481 Luci での競合状態 0.26.0 は、権限を制限する前に、誰でも読み取ることができる権限で /var/lib/luci/etc/luci.ini を作成します。これにより、ローカルユーザーは、ファイルを読み取ることや、認証の秘密などの機密情報を取得することができます。
     CVE-2013-4482 Luci の python-paste-script別名 pasteerにある信頼できない検索パスの脆弱性 0.26.0では、initscript を使用して開始した場合、ローカルユーザーが (1) 現在の作業ディレクトリにあるトロイの木馬の .egg-info ファイルを介して権限を取得することが可能です。または (2) 親ディレクトリを返す可能性があります。
    修正されたバグ：
     エージェントパラメーターのフルセットを操作する Luci の機能が復元されました。以前は破棄された、構成されたフェンスデバイスパラメーターが期待通りに機能するようになりました。これには、cmd_prompt、login_timeout、power_timeout、retry_on、shell_timeout、delay のパラメーターが含まれます。
     フェンスデバイスのフルセットで動作するように Luci の機能を追加します。以前は、Dell iDRACidrac、HP iLO2ilo2、HP iLO3ilo3、IBM Integrated Management Moduleimmのデバイスやエージェントが適切に動作せず、それらから構成されるクラスターも動作しませんでした。

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

luci サービスを初期化する方法で、欠陥が見つかりました。システム管理者が luci サービスを、ローカルユーザーが書き込み可能なディレクトリから起動した場合、そのユーザーは、この欠陥を利用して、root または luci ユーザーとして任意のコードを実行することがあります。(CVE-2013-4482)

luci でその構成ファイルを生成する方法で、欠陥が見つかりました。ファイルは短期間誰でも読み取り可能に作成され、ローカルユーザーは、構成ファイルに保存されている認証用の秘密へのアクセス権を、取得できます。(CVE-2013-4481)

この更新をインストールすると、 luci サービスが自動的に再起動されます。

Updated luci packages that fix two security issues, several bugs, and add two enhancements are now available for Red Hat Enterprise Linux 6.

The Red Hat Security Response Team has rated this update as having moderate security impact. Common Vulnerability Scoring System (CVSS) base scores, which give detailed severity ratings, are available for each vulnerability from the CVE links in the References section.

Luci is a web-based high availability administration application.

A flaw was found in the way the luci service was initialized. If a system administrator started the luci service from a directory that was writable to by a local user, that user could use this flaw to execute arbitrary code as the root or luci user. (CVE-2013-4482)

A flaw was found in the way luci generated its configuration file. The file was created as world readable for a short period of time, allowing a local user to gain access to the authentication secrets stored in the configuration file. (CVE-2013-4481)

These issues were discovered by Jan Pokorny of Red Hat.

These updated luci packages include numerous bug fixes and two enhancements. Space precludes documenting all of these changes in this advisory. Users are directed to the Red Hat Enterprise Linux 6.5 Technical Notes, linked to in the References, for information on the most significant of these changes.

All luci users are advised to upgrade to these updated packages, which contain backported patches to correct these issues and add these enhancements. After installing this update, the luci service will be restarted automatically.

The remote Redhat Enterprise Linux 6 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2013:1603 advisory.

    Luci is a web-based high availability administration application.

    A flaw was found in the way the luci service was initialized. If a system     administrator started the luci service from a directory that was writable     to by a local user, that user could use this flaw to execute arbitrary code     as the root or luci user. (CVE-2013-4482)

    A flaw was found in the way luci generated its configuration file. The file     was created as world readable for a short period of time, allowing a local     user to gain access to the authentication secrets stored in the     configuration file. (CVE-2013-4481)

    These issues were discovered by Jan Pokorn of Red Hat.

    These updated luci packages include numerous bug fixes and two     enhancements. Space precludes documenting all of these changes in this     advisory. Users are directed to the Red Hat Enterprise Linux 6.5 Technical     Notes, linked to in the References, for information on the most significant     of these changes.

    All luci users are advised to upgrade to these updated packages, which     contain backported patches to correct these issues and add these     enhancements. After installing this update, the luci service will be     restarted automatically.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote MiracleLinux 4 host has a package installed that is affected by multiple vulnerabilities as referenced in the AXSA:2014-025:01 advisory.

    The luci packages contain a web-based high-availability cluster configuration application.
    Security issues fixed with this release:
     CVE-2013-4481     Race condition in Luci 0.26.0 creates /var/lib/luci/etc/luci.ini with world-readable permissions before     restricting the permissions, which allows local users to read the file and obtain sensitive information     such as authentication secrets.
     CVE-2013-4482     Untrusted search path vulnerability in python-paste-script (aka paster) in Luci 0.26.0, when started using     the initscript, allows local users to gain privileges via a Trojan horse .egg-info file in the (1) current     working directory or (2) its parent directories.
    Fixed bugs:
     Luci's capability to work with the full set of agents parameters has been restored. Configured fence     device parameters that were previously discarded now work as expected: this includes parameters for     cmd_prompt, login_timeout, power_timeout, retry_on, shell_timeout and delay.
     Luci's capability to work with the full set of fence devices. Previously, Dell iDRAC (idrac), HP iLO2     (ilo2), HP iLO3 (ilo3), and IBM Integrated Management Module (imm) devices or agents would not properly     work, nor would a cluster comprising them.

Tenable has extracted the preceding description block directly from the MiracleLinux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

A flaw was found in the way the luci service was initialized. If a system administrator started the luci service from a directory that was writable to by a local user, that user could use this flaw to execute arbitrary code as the root or luci user. (CVE-2013-4482)

A flaw was found in the way luci generated its configuration file. The file was created as world readable for a short period of time, allowing a local user to gain access to the authentication secrets stored in the configuration file. (CVE-2013-4481)

After installing this update, the luci service will be restarted automatically.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79165	CentOS 6：luci (CESA-2013:1603)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	medium
290111	MagicLinux 4luci-0.26.0-48.AXS4 (AXSA:2014-025:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
71195	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 luci	Nessus	Scientific Linux Local Security Checks	2013/12/4	2021/1/14	medium
79165	CentOS 6 : luci (CESA-2013:1603)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	medium
71008	RHEL 6 : luci (RHSA-2013:1603)	Nessus	Red Hat Local Security Checks	2013/11/21	2025/4/15	high
71008	RHEL 6：luci (RHSA-2013:1603)	Nessus	Red Hat Local Security Checks	2013/11/21	2025/4/15	high
290111	MiracleLinux 4luci-0.26.0-48.AXS4 (AXSA:2014-025:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
71195	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 luci	Nessus	Scientific Linux Local Security Checks	2013/12/4	2021/1/14	medium
71008	RHEL 6 : luci（RHSA-2013:1603）	Nessus	Red Hat Local Security Checks	2013/11/21	2025/4/15	high
79165	CentOS 6：luci （CESA-2013:1603）	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	medium
290111	MiracleLinux 4luci-0.26.0-48.AXS4AXSA:2014-025:01	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
71195	Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の luci	Nessus	Scientific Linux Local Security Checks	2013/12/4	2021/1/14	medium
79165	CentOS 6 : luci (CESA-2013:1603)	Nessus	CentOS Local Security Checks	2014/11/12	2021/1/4	medium
71008	RHEL 6 : luci (RHSA-2013:1603)	Nessus	Red Hat Local Security Checks	2013/11/21	2025/4/15	high
290111	MiracleLinux 4 : luci-0.26.0-48.AXS4 (AXSA:2014-025:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
71195	Scientific Linux Security Update : luci on SL6.x i386/x86_64 (20131121)	Nessus	Scientific Linux Local Security Checks	2013/12/4	2021/1/14	medium

检测

插件搜索

medium

high

medium

medium

high

high

high

medium

high

medium

high

medium

medium

high

high

medium