CVE-2024-52336
Açıklama
Tuned paketinde bir betik enjeksiyonu zafiyeti tespit edilmiştir. `instance_create()` D-Bus fonksiyonu, yerel olarak oturum açmış kullanıcılar tarafından kimlik doğrulaması olmadan çağrılabilir. Bu açık, yetkisiz bir yerel kullanıcının, mutlak yolları belirtilmiş rastgele betiklerin geçirilmesine izin veren `script_pre` veya `script_post` seçenekleriyle bir D-Bus çağrısı yapmasına olanak tanır. Kullanıcı veya saldırgan tarafından kontrol edilen bu yürütülebilir betikler veya programlar daha sonra Tuned tarafından root ayrıcalıklarıyla çalıştırılabilir ve bu durum saldırganların yerel yetki yükseltmesi yapmasına yol açabilir.
Nasıl düzeltilir
- tuned2.24.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tuned | 2.23.0 ≤ v < 2.24.1 | 2.24.1 |
| enterprise_linux 8 | Aralık belirtilmemiş | — |
| enterprise_linux 9 | Aralık belirtilmemiş | — |
| Red Hat Red Hat Enterprise Linux 10 | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.