ClusterLabs Hawk 代码注入漏洞

漏洞介绍

Clusterlabs Crmsh是ClusterLabs（Clusterlabs）团队的一个适用于GNU/Linux系统用于高可用性集群管理的命令行软件。

ClusterLabs Hawk 2.x到2.3.0-x 存在代码注入漏洞，该漏洞源于login_from_cookie cookie 中的 hawk_remember_me_id中存在一个Ruby 代码注入，未校验的攻击者可通过用户退出登录过程中引起代码执行。

漏洞补丁

目前厂商已发布升级了ClusterLabs Hawk 代码注入漏洞的补丁，ClusterLabs Hawk 代码注入漏洞的补丁获取链接：

https://github.com/ClusterLabs/hawk/commit/a939a099c6abdac383fbaede5e8655853222c887#diff-5349b200e8dc7ea82818115aa0aa1522

参考网址

来源:MLIST

链接：http://www.openwall.com/lists/oss-security/2021/01/12/3

来源:MISC

链接：https://github.com/ClusterLabs/hawk/releases

来源:MISC

链接：https://bugzilla.suse.com/show_bug.cgi?id=1179998

来源:CONFIRM

链接：https://www.openwall.com/lists/oss-security/2021/01/12/3

来源:vigilance.fr

链接：https://vigilance.fr/vulnerability/ClusterLabs-Hawk-code-execution-via-hawk-remember-me-id-34280

来源:www.auscert.org.au

链接：https://www.auscert.org.au/bulletins/ESB-2021.0157/

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202101-789