Haavatavused dokumentide vaatamise rakenduses Xreader, mida arendab Linux Mint projekt.

Linux Minti arendajate välja töötatud dokumendivaataja Xreaderis on tuvastatud kaks haavatavust, mis võivad võimaldada ründajal koodi käivitada, avades spetsiaalselt vormindatud faile EPUB ja CBT formaatides. Haavatavused on kõrvaldatud värskendustes Xreader 4.0.0, 3.8.5, 3.6.6, 3.2.3 ja 2.6.5.

Haavatavused on põhjustatud vigadest EPUB ja CBT formaatide analüüsi koodis. EPUB puhul on probleem (CVE-2023-44451) seotud spetsiaalsete märkide ("..\/") vale põgenemisega parameetrites, mida kasutatakse faili tee genereerimiseks sisu pakkimiseks ajutiste failide katalooge. CBT puhul on haavatavus (CVE-2023-44452) põhjustatud puhastamata väärtuste kasutamisest failist välise käsu intltool_merge täitmisel funktsiooni system() abil.

Allikas: opennet.ru