一、 漏洞 CVE-2025-43904 基础信息

                                        # N/A

## 概述
SchedMD Slurm 的权限提升漏洞存在于会计系统中，允许协调员（Coordinator）将普通用户提升为管理员（Administrator）。

## 影响版本
- Slurm < 24.11.5  
- Slurm < 24.05.8  
- Slurm < 23.11.11

## 细节
Slurm 的会计子系统未正确验证权限层级，导致具有 Coordinator 权限的用户可通过修改账户权限将其他用户提升为 Administrator。

## 影响
攻击者若拥有 Coordinator 权限，可利用此漏洞获得管理员权限，从而完全控制 Slurm 集群的调度与管理功能。
                                        

二、漏洞 CVE-2025-43904 的公开POC

三、漏洞 CVE-2025-43904 的情报信息

• 标题： Security Policy - SchedMD -- 🔗来源链接

  标签：

  神龙速读：

                                          从这个网页截图中，可以获取到以下关于漏洞的关键信息：
  
  1. **SchedMD的漏洞响应流程**：
     - SchedMD遵循一个协调的披露流程，鼓励发现者报告潜在的安全问题，并遵循其披露流程。
     - 在发现者希望遵循其首选流程的情况下，SchedMD将尊重他们的愿望并与其合作。
  
  2. **联系信息**：
     - 发现者可以通过`security@schedmd.com`联系SchedMD。
     - 如果需要，可以联系SchedMD获取GPG密钥。
  
  3. **漏洞披露范围**：
     - 漏洞披露流程涵盖了Slurm工作负载管理器本身。与Slurm紧密相关的组件，如MUNGE或第三方SPANK插件，也可能被披露。
  
  4. **Slurm漏洞披露流程**：
     - **问题识别和分类**：识别问题并审查代码库以识别类似和相关的问题。
     - **潜在缓解措施和相关配置选项**：识别潜在的缓解措施和相关配置选项。
     - **内部开发和测试**：开发和内部测试修复。
     - **请求CVE编号**：请求CVE编号以识别原始问题报告者。详细信息在发布前不会公开。
     - **预公告期和SchedMD客户通知**：
       - 预公告通知发送给私有SchedMD客户邮件列表。
       - 客户请求修复和进一步细节时，需要遵守预公告期，并在他们的运营人员和管理人员之外不披露问题。
       - 如果需要维护中断并要求通知系统用户，SchedMD请求客户不要透露具体问题。
  
  这些信息详细描述了SchedMD如何处理和披露Slurm相关的安全漏洞。
                                          

  

• 标题： [slurm-announce] Slurm versions 24.11.5, 24.05.8, and 23.11.11 are now available (CVE-2025-43904) - slurm-announce - lists.schedmd.com -- 🔗来源链接

  标签：

  神龙速读：

                                          从这个网页截图中可以获取到以下关于漏洞的关键信息：
  
  - **CVE编号**: CVE-2025-43904
  - **漏洞描述**: Slurm versions 24.11.5, 24.05.8, and 23.11.11 include a fix for a recently discovered security issue.协调员在Slurm的帐户系统中处理权限时的一个错误，可以让协调员提升用户的权限到管理员级别。
  - **影响版本**: Slurm versions 24.11.5, 24.05.8, and 23.11.11.
  - **修复措施**:
      - 已发布更新版本: Slurm versions 24.11.5, 24.05.8, and 23.11.11.
      - 提供了安全补丁: SlurmMD customers were informed on April 23rd and provided a "patch on request; this process is documented in our security policy.
      - 下载链接: https://www.schedmd.com/downloads.php.
  - **发布时间**: 该漏洞于2025年5月7日被修复并发布更新。
  - **报告者**: Sekou Diakité (HPE). 
  
  请注意，这是一个模拟的CVE编号和漏洞描述，实际的安全信息请参考正式的安全公告和安全数据库。
                                          

  
• https://nvd.nist.gov/vuln/detail/CVE-2025-43904

四、漏洞 CVE-2025-43904 的评论