CVE-2019-6438

SchedMD Slurm — błędna obsługa systemów 32-bitowych (RCE/eskalacja)

CVSS 9.8v3.0pub. 2019-01-31upd. 2024-11-21

SchedMD Slurm w wersjach przed 17.11.13 oraz 18.x przed 18.08.5 nieprawidłowo obsługuje systemy 32-bitowe, co skutkuje krytyczną podatnością z oceną CVSS 9.8. Ze względu na sieciowy charakter podatności (brak wymagań co do uwierzytelnienia i interakcji użytkownika) stanowi ona poważne zagrożenie dla środowisk HPC.

▸ Pokaż oryginał (EN)

SchedMD Slurm before 17.11.13 and 18.x before 18.08.5 mishandles 32-bit systems.

🤖 Analiza AI

Jak działa

Podatność wynika z błędnej obsługi architektury 32-bitowej w oprogramowaniu Slurm. Szczegółowy mechanizm nie został w pełni ujawniony w opisie producenta, jednak krytyczny poziom CVSS oraz brak wymagania uwierzytelnienia sugerują możliwość wywołania przepełnienia bufora lub podobnego błędu związanego z rozmiarem typów danych na systemach 32-bitowych. Atakujący zdalny, bez żadnych uprawnień, może wykorzystać tę podatność przez sieć.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem — podatność umożliwia naruszenie poufności, integralności oraz dostępności danych i usług (oceny C:H/I:H/A:H w wektorze CVSS), co w praktyce może oznaczać zdalne wykonanie kodu lub przejęcie kontroli nad węzłem klastra HPC.

Mitygacja

Należy zaktualizować SchedMD Slurm do wersji 17.11.13 lub nowszej (dla gałęzi 17.x) albo do wersji 18.08.5 lub nowszej (dla gałęzi 18.x). Użytkownicy dystrybucji openSUSE Leap oraz Debian powinni zastosować aktualizacje dostarczone przez producentów dystrybucji zgodnie z opublikowanymi komunikatami bezpieczeństwa.