CVE-2020-25507
Təsvir
TeamworkCloud 18.0-dan 19.0-a qədər olan versiyaların quraşdırma skripti zamanı yanlış icazələrin təyin edilməsi, lokal imtiyazsız hücumçunun root olaraq ixtiyari kodu icra etməsinə şərait yaradır. Quraşdırma zamanı istifadəçiyə sistem mühit faylını hər kəs üçün yazıla bilən icazələrlə (0777 /etc/environment) təyin etmək təlimatı verilir. Hər hansı lokal imtiyazsız istifadəçi sadəcə /etc/environment faylına yazmaqla ixtiyari kodu icra edə bilər ki, bu da root daxil olmaqla bütün istifadəçiləri növbəti giriş və ya yenidən yükləmə zamanı ixtiyari kodu icra etməyə məcbur edir. Bundan əlavə, /home/twcloud ünvanındakı twcloud istifadəçisinin bütün ev kataloquna rekursiv olaraq hər kəs üçün yazıla bilən icazələr verilir. Bu, hər hansı lokal imtiyazsız hücumçuya twcloud kimi ixtiyari kodu icra etməyə imkan verir. Bu məhsul əvvəllər Cameo Enterprise Data Warehouse (CEDW) adlanırdı.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 3ds teamwork_cloud | 18.0 ≤ v ≤ 19.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.