PT-2020-6817 · Clusterlabs+1 · Clusterlabs Hawk+1
Liangxin1300
·
Publicado
2020-11-09
·
Atualizado
2023-08-08
·
CVE-2021-3020
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
ClusterLabs Hawk, versões 2.3.0 a 2.3.0-15
Descrição
O problema no ClusterLabs Hawk está relacionado ao binário
hawk invoke, que se destina a ser usado como um programa setuid, permitindo que o usuário hacluster execute determinados comandos como root. No entanto, esse usuário pode executar um shell interativo que não se limita aos comandos especificados no hawk invoke, permitindo a escalada de privilégios para root. A vulnerabilidade pode permitir que um invasor remoto execute comandos arbitrários como usuário root.Recomendações
Para as versões 2.3.0 a 2.3.0-15 do ClusterLabs Hawk, considere desativar o binário
hawk invoke até que um patch esteja disponível para impedir que o usuário hacluster execute comandos como root e para minimizar o risco de exploração. Como solução temporária, restrinja o acesso ao binário hawk invoke para impedir o uso não autorizado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Command Injection
Improper Privilege Management
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Clusterlabs Hawk
Suse