CVE-2019-12749

Yüksək

Təsvir

Ubuntu 14.04-də Canonical Upstart daxilindəki DBusServer-də istifadə olunan dbus versiya 1.10.28-dən əvvəlki, 1.12.x versiya 1.12.16-dan əvvəlki və 1.13.x versiya 1.13.12-dən əvvəlki versiyalar (və dbus-daemon-ın bəzi daha az rast gəlinən istifadələri), libdbus kitabxanasındakı DBUS_COOKIE_SHA1-in etalon tətbiqində simvolik keçiricilərin (symlink) yanlış idarə edilməsi səbəbindən kuki saxtakarlığına (cookie spoofing) yol açır. (Bu, yalnız DBUS_COOKIE_SHA1 autentifikasiya mexanizminə təsir edir.) Öz ev kataloquna yazı girişi olan zərərli bir klient, fərqli uid-yə malik DBusServer-in nəzərdə tutulmayan yerlərdə oxuma və yazma əməliyyatları aparmasına səbəb olmaq üçün ~/.dbus-keyrings simvolik keçiricisini manipulyasiya edə bilər. Ən pis halda, bu, DBusServer-in zərərli klientə məlum olan kukini yenidən istifadə etməsinə və həmin kukini növbəti klient bağlantısının hücumçunun seçdiyi uid-dən gəldiyinə dair sübut kimi qəbul etməsinə səbəb ola bilər ki, bu da autentifikasiyadan yan keçməyə imkan verir.

CiddilikYüksək

CVSS7.1

İstismar ehtimalı—

MəhsulFreedesktop Dbus

Dərc11 iyn 2019

İlk görülmə11 iyn 2019

Zəiflik növüCWE-59Keçid izləmə xətası

Necə düzəltmək olar

Yeniləyin

freedesktop dbus1.10.28, 1.12.16, 1.13.12 və ya daha yeni versiya

İstehsalçı bildirişləri

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
freedesktop dbus	v < 1.10.28, 1.12.0 ≤ v < 1.12.16, 1.13.0 ≤ v < 1.13.12	1.10.28, 1.12.16, 1.13.12
canonical ubuntu_linux	16.04, 18.04, 18.10, 19.04	—

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.