CVE-2018-10841
glusterfs は、gluster サーバーノードで権限のエスカレーションに対して脆弱です。TLS で認証された gluster クライアントでは、--remote-host を使った gluster cli を使用することで、信頼できるストレージプールをクライアント自身に追加し、他のマシンを信頼できるストレージプールに追加したり、ボリュームを起動、停止、および削除すると言った権限を必要とする gluster 操作が可能になります。
Find out more about CVE-2018-10841 from the MITRE CVE dictionary dictionary and NIST NVD.
Statement
この脆弱性は glusterfs-server パッケージにのみ影響するため、Red Hat Enterprise Linux 6 および 7 には影響ありません。Red Hat Virtualization Hypervisor は gluster を vdsm 経由で制御された方法で使用するため、この脆弱性による影響はありません。
CVSS v3 metrics
| CVSS3 Base Score | 6.6 |
|---|---|
| CVSS3 Base Metrics | CVSS:3.0/AV:A/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H |
| Attack Vector | Adjacent Network |
| Attack Complexity | Low |
| Privileges Required | High |
| User Interaction | Required |
| Scope | Unchanged |
| Confidentiality | High |
| Integrity Impact | High |
| Availability Impact | High |
Red Hat Security Errata
| Platform | Errata | Release Date |
|---|---|---|
| Red Hat Gluster Storage Server 3.3 on RHEL-6 (glusterfs) | RHSA-2018:1955 | 2018-06-20 |
| Red Hat Virtualization 4 Management Agent for RHEL 7 Hosts | RHSA-2018:1954 | 2018-06-20 |
| Red Hat Storage Native Client for Red Hat Enterprise Linux 7 (glusterfs) | RHSA-2018:1954 | 2018-06-20 |
| Red Hat Gluster Storage Server 3.3 on RHEL-7 (glusterfs) | RHSA-2018:1954 | 2018-06-20 |
| Red Hat Storage Native Client for Red Hat Enterprise Linux 6 (glusterfs) | RHSA-2018:1955 | 2018-06-20 |
Affected Packages State
| Platform | Package | State |
|---|---|---|
| Red Hat Virtualization 4 | redhat-virtualization-host | 影響なし |
| Red Hat Enterprise Linux 6 | glusterfs | 影響なし |