CVE-2020-27745

Buffer Overflow w pluginie PMIx MPI w Slurm — RCE bez uwierzytelnienia

CVSS 9.8v3.1pub. 2020-11-27upd. 2024-11-21

Podatność typu buffer overflow w systemie zarządzania klastrem Slurm pozwala zdalnemu atakującemu na przepełnienie bufora podczas obsługi wywołań RPC w pluginie PMIx MPI. Ze względu na brak wymagań dotyczących uwierzytelnienia i sieciowy wektor ataku, podatność jest oceniana jako krytyczna.

▸ Pokaż oryginał (EN)

Slurm before 19.05.8 and 20.x before 20.02.6 has an RPC Buffer Overflow in the PMIx MPI plugin.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-120 (klasyczny buffer overflow) dotyczy pluginu PMIx MPI w Slurm. Podczas przetwarzania przychodzących wywołań RPC (Remote Procedure Call) niewystarczająca walidacja danych wejściowych może prowadzić do przepełnienia bufora w pamięci procesu. Atakujący może spreparować odpowiedni pakiet sieciowy i wysłać go do podatnego węzła klastra bez potrzeby posiadania jakichkolwiek poświadczeń.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie dowolnego kodu (RCE) na podatnym węźle klastra, a także naruszenie poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Slurm do wersji 19.05.8 lub nowszej (w gałęzi 19.x) albo do wersji 20.02.6 lub nowszej (w gałęzi 20.x). Użytkownicy Debian Linux powinni zastosować patche dostępne w ramach DSA-4841 (Debian stable) oraz komunikatu debian-lts-announce z stycznia 2022 r. (Debian LTS).