更新后的 pacemaker 程序包修复了一个安全问题和若干缺陷，并添加了两项增强，现在可用于Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Pacemaker Resource Manager 是一系列技术，这些技术共同作用以提供数据完整性，并在发生错误时维护应用程序可用性。

特定情况下在 pacemaker（一个群集资源管理器）评估添加的节点的方式中发现一个缺陷。具有只读访问权限的用户可能将任何其他现有角色分配给自己，然后向其他用户添加权限。(CVE-2015-1867)

pacemaker 程序包已升级到上游版本 1.1.13，其提供了对之前版本的多项缺陷补丁和增强。(BZ#1234680)

此更新还修复以下缺陷：

* 如果 Pacemaker 群集包含 Apache 资源，那么启用 Apache 的 mod_systemd 模块后，系统会拒绝 Apache 发送的通知。因此，系统日志中会出现大量以下格式的错误：

收到来自 PID XXXX 的通知消息，但是，仅 PID YYYY 有权接收

通过此更新，lrmd 后台程序会在上述情况下取消设置“NOTIFY_SOCKET”变量，并且不会再记录这些错误消息。(BZ#1150184)

* 以前，如果将远程客户机节点指定为 Pacemaker 群集中群组资源的一部分，将导致该节点停止工作。此次更新添加了对 Pacemaker 群组资源中远程客户机的支持，因而不会再出现上述问题。(BZ#1168637)

* 如果 Pacemaker 群集中的某个资源启动失败，即便使用“on-fail=ignore”选项，Pacemaker 仍然会更新该资源的上次失败时间，并增加其失败计数。在某些情况下，这会造成资源启动失败时发生意外资源迁移。现在，使用“on-fail=ignore”时，Pacemaker 将不再更新失败计数。现在，群集状态输出中会显示该失败，但会适当对其进行忽略，因而不会导致资源迁移。(BZ#1200849)

* 以前，Pacemaker 解析 pcmk_host_map 字符串时支持分号（“;”）作为分隔符，但解析 pcmk_host_list 字符串时则不支持。为了确保一致的用户体验，现在解析 pcmk_host_list 时也支持分号作为分隔符。(BZ#1206232)

此外，此更新还添加了以下增强：

* 现在，如果 Pacemaker 位置限制具有“resource-discovery=never”选项，Pacemaker 不会尝试确定指定服务是否在指定节点上运行。此外，如果针对给定资源存在多个位置限制指定“resource-discovery=exclusive”，那么 Pacemaker 仅在这些限制中所指定的节点上尝试资源发现。因此，如果在某些节点上尝试该操作导致错误或其他不良问题，Pacemaker 可以跳过对这些节点的资源发现。(BZ#1108853)

* 已简化针对冗余电源供应的配置隔离过程，以防止多个节点同时访问群集资源导致数据损坏。
有关详细信息，请参阅“高可用性附加组件”参考手册的“隔离：配置 STONITH”一章。(BZ#1206647)

* 已修改“crm_mon”和“pcs_status”命令的输出，使其更加简明扼要，以便在报告包含大量远程节点和克隆资源的 Pacemaker 群集状态时，更加清晰可读。(BZ#1115840)

建议所有 pacemaker 用户升级这些更新后的程序包，其中修正了这些问题并添加这些增强。

特定情况下在 pacemaker（一个群集资源管理器）评估添加的节点的方式中发现一个缺陷。具有只读访问权限的用户可能将任何其他现有角色分配给自己，然后向其他用户添加权限。(CVE-2015-1867)

pacemaker 程序包已升级到上游版本 1.1.13，其提供了对之前版本的多项缺陷补丁和增强。

此更新还修复以下缺陷：

- 如果 Pacemaker 群集包含 Apache 资源，那么启用 Apache 的 mod_systemd 模块后，系统会拒绝 Apache 发送的通知。因此，系统日志中会出现大量以下格式的错误：

收到来自 PID XXXX 的通知消息，但是，仅 PID YYYY 有权接收

通过此更新，lrmd 后台程序会在上述情况下取消设置“NOTIFY_SOCKET”变量，并且不会再记录这些错误消息。

- 以前，如果将远程客户机节点指定为 Pacemaker 群集中群组资源的一部分，将导致该节点停止工作。此次更新添加了对 Pacemaker 群组资源中远程客户机的支持，因而不会再出现上述问题。

- 如果 Pacemaker 群集中的某个资源启动失败，即便使用“on-fail=ignore”选项，Pacemaker 仍然会更新该资源的上次失败时间，并增加其失败计数。在某些情况下，这会造成资源启动失败时发生意外资源迁移。现在，使用“on-fail=ignore”时，Pacemaker 将不再更新失败计数。现在，群集状态输出中会显示该失败，但会适当对其进行忽略，因而不会导致资源迁移。

- 以前，Pacemaker 解析 pcmk_host_map 字符串时支持分号（“;”）作为分隔符，但解析 pcmk_host_list 字符串时则不支持。
 为了确保一致的用户体验，现在解析 pcmk_host_list 时也支持分号作为分隔符。

此外，此更新还添加了以下增强：

- 现在，如果 Pacemaker 位置限制具有“resource-discovery=never”选项，Pacemaker 不会尝试确定指定服务是否在指定节点上运行。此外，如果给定资源的多个位置限制指定“resource-discovery=exclusive”，那么 Pacemaker 仅在这些限制中所指定的节点上尝试资源发现。因此，如果在某些节点上尝试该操作导致错误或其他不良问题，Pacemaker 可以跳过对这些节点的资源发现。

- 已简化针对冗余电源供应的配置隔离过程，以防止多个节点同时访问群集资源而导致数据损坏。有关详细信息，请参阅“高可用性附加组件”参考手册的“隔离：配置 STONITH”一章。

- 已修改“crm_mon”和“pcs_status”命令的输出，使其更加简明扼要，以便在报告包含大量远程节点和克隆资源的 Pacemaker 群集状态时，更加清晰可读。

CVE-2015-1867 的安全补丁：pacemaker-1.1.12 中存在 allegedly 问题，已在 pacemaker-1.1.13 中修复。* * * pacemaker-1.1.13-3.fc{21,22,23} - 更新到 Pacemaker-1.1.13 后版本 + 修补程序（同步） - 添加 nagios-plugins-metadata 子程序包，启用所选 Nagios 插件的支持，作为 Pacemaker 识别的资源 - 多个规格文件改进：终止不相关的内容、重新哈希包含/排除的文件 + 依存关系，并添加检查 scriptlet，反映目前的程序包封装实践，进行次要的清理工作（多数从另一个规格采用）

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新后的 pacemaker 程序包修复了一个安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Pacemaker Resource Manager 是一系列技术，这些技术共同作用以提供数据完整性，并在发生错误时维护应用程序可用性。

特定情况下在 pacemaker（一个群集资源管理器）评估添加的节点的方式中发现一个缺陷。具有只读访问权限的用户可能将任何其他现有角色分配给自己，然后向其他用户添加权限。(CVE-2015-1867)

此更新还修复以下缺陷：

* 由于一处争用条件，平稳关闭的节点有时无法重新加入群集。因此，节点可能在上线后立即被群集再次关闭。此缺陷已修复，“关闭”属性现在可正确清除。(BZ#1198638)

* 在此更新之前，在对 Red Hat Enterprise Linux 6.6 进行系统更新后，pacemaker 实用工具后会导致 attrd 后台程序意外终止。此缺陷已修复，现在 packmaker 启动时 attrd 不会再崩溃。(BZ#1205292)

* 以前，pacemaker 实用工具的访问控制列表 (ACL) 允许使用只读权限向群集信息库 (CIB) 分配角色。此更新已修复该缺陷，更新后强制使用 ACL，没有写入权限的用户将无法绕过。(BZ#1207621)

* 在此更新之前，使用 pacemaker 实用工具时，ClusterMon (crm_mon) 实用工具不会使用“-E”参数触发外部代理脚本以监控群集信息库 (CIB)。已提供修补程序修复此缺陷，现在 crm_mon 会在使用“-E”参数时调用代理脚本。(BZ#1208896)

建议 pacemaker 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

远程主机受到 GLSA-201710-08 中所述漏洞的影响（Pacemaker：多个漏洞）在 Pacemaker 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可执行任意代码，或是本地攻击者可提升权限。解决方法：目前无任何已知的解决方法。

特定情况下在 pacemaker（一个群集资源管理器）评估添加的节点的方式中发现一个缺陷。具有只读访问权限的用户可能将任何其他现有角色分配给自己，然后向其他用户添加权限。(CVE-2015-1867)

此更新还修复以下缺陷：

- 由于一处争用条件，平稳关闭的节点有时无法重新加入群集。因此，节点可能在上线后立即被群集再次关闭。此缺陷已修复，“关闭”属性现在可正确清除。

- 在此更新之前，在对 Scientific Linux 6.6 进行系统更新后，pacemaker 实用工具后会导致 attrd 后台程序意外终止。此缺陷已修复，现在 packmaker 启动时 attrd 不会再崩溃。

- 以前，pacemaker 实用工具的访问控制列表 (ACL) 允许使用只读权限向群集信息库 (CIB) 分配角色。此更新已修复该缺陷，更新后强制使用 ACL，没有写入权限的用户将无法绕过。

- 在此更新之前，使用 pacemaker 实用工具时，ClusterMon (crm_mon) 实用工具不会使用“-E”参数触发外部代理脚本以监控群集信息库 (CIB)。已提供修补程序修复此缺陷，现在 crm_mon 会在使用“-E”参数时调用代理脚本。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
86987	RHEL 7：pacemaker (RHSA-2015:2383)	Nessus	Red Hat Local Security Checks	2015/11/20	2025/4/15	critical
87568	Scientific Linux 安全更新：SL7.x x86_64 中的 pacemaker	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	high
89464	Fedora 23：pacemaker-1.1.13-3.fc23 (2015-f9864ecd8f)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
89444	Fedora 21：pacemaker-1.1.13-3.fc21 (2015-e5e36bbb87)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
89462	Fedora 22：pacemaker-1.1.13-3.fc22 (2015-f6860d8f9d)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	high
84946	RHEL 6：pacemaker (RHSA-2015:1424)	Nessus	Red Hat Local Security Checks	2015/7/23	2024/11/4	critical
103726	GLSA-201710-08：Pacemaker：多个漏洞	Nessus	Gentoo Local Security Checks	2017/10/9	2021/1/11	high
87155	CentOS 7：pacemaker (CESA-2015:2383)	Nessus	CentOS Local Security Checks	2015/12/2	2021/1/4	high
85020	CentOS 6：pacemaker (CESA-2015:1424)	Nessus	CentOS Local Security Checks	2015/7/28	2021/1/4	high
85204	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 pacemaker	Nessus	Scientific Linux Local Security Checks	2015/8/4	2021/1/14	high

检测

插件搜索

critical

high

high

high

high

critical

high

high

high

high