CVE-2024-52337

Bazı API argümanlarının uygun şekilde temizlenmemesi nedeniyle Tuned paketinde bir günlük yanıltma (log spoofing) açığı bulundu. Bu açık, bir saldırganın kontrollü bir karakter dizisi iletmesine ve günlüğe yeni satırlar eklemesine olanak tanır. Saldırgan, 'kötü niyetli' girişler yerine geçerli bir TuneD günlük satırını taklit ederek sistem yöneticisini yanıltabilir. TuneD günlüklerinde ham kullanıcı girdilerini belirtmek için genellikle '' tırnak işaretleri kullanıldığından, yanıltıcı girdiyi sonlandıran her zaman bir ' karakteri olacaktır ve yönetici bunu kolayca gözden kaçırabilir. Günlüğe kaydedilen bu dize daha sonra günlükleme işlemlerinde ve örneğin `tuned-adm get_instances` gibi araçların çıktılarında veya bu tür işlemler için Tuned'ın D-Bus arayüzünü kullanan diğer üçüncü taraf programlarda kullanılır.