CVE-2023-6395
Açıklama
Mock yazılımı, bir saldırganın potansiyel olarak yetki yükseltmeyi istismar ederek root kullanıcı ayrıcalıklarıyla rastgele kod yürütmesine olanak tanıyan bir güvenlik açığı içermektedir. Bu zayıflık, belirli yapılandırma parametrelerinde yer alabilen Jinja2 şablonlarının genişletilmesi ve yürütülmesi sırasında uygun sandbox mekanizmasının bulunmamasından kaynaklanmaktadır. Mock dokümantasyonu, mock grubuna eklenen kullanıcıların ayrıcalıklı olarak değerlendirilmesini önerse de, kullanıcılar adına mock'u çağıran bazı derleme sistemleri, düşük yetkili kullanıcıların yapılandırma etiketlerini tanımlamasına istemeden izin verebilir. Bu etiketler daha sonra yürütme sırasında mock'a parametre olarak aktarılabilir ve bu durum, uzak yetki yükseltme için Jinja2 şablonlarının kullanılmasına ve derleme sunucusunda root kullanıcısı olarak rastgele kod yürütülmesine yol açabilir.
Nasıl düzeltilir
- templated-dictionary1.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| rpm-software-management mock | Aralık belirtilmemiş | — |
| fedoraproject extra_packages_for_enterprise_linux | 7.0, 8.0, 9.0 | — |
| fedoraproject fedora | 38, 39 | — |
| templated-dictionaryPyPI | v < 1.4.1 | 1.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.