{"id":106435,"date":"2023-01-21T12:48:20","date_gmt":"2023-01-21T10:48:20","guid":{"rendered":"https:\/\/prohoster.info\/?p=106435"},"modified":"2023-01-24T13:53:14","modified_gmt":"2023-01-24T11:53:14","slug":"uyazvimost-v-libxpm-privodyashhaya-k-vypolneniyu-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/uyazvimost-v-libxpm-privodyashhaya-k-vypolneniyu-koda","title":{"rendered":"Haavatavus libXpm, mis v\u00f5imaldab koodi k\u00e4ivitada","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
K\u00e4idatud on libXpm 3.5.15 raamatukogu parandusversioon, mida arendab X.Org projekt ja mis on m\u00f5eldud XPM formaadi failide t\u00f6\u00f6tlemiseks. Uues versioonis on k\u00f5rvaldatud kolm haavatavust, millest kaks (CVE-2022-46285, CVE-2022-44617) p\u00f5hjustavad l\u00f5pmatute ts\u00fcklite tekkimise spetsiaalselt vormindatud XPM failide t\u00f6\u00f6tlemisel. Kolmas haavatavus (CVE-2022-4883) v\u00f5imaldab suvaliste k\u00e4skude k\u00e4ivitamist rakenduste k\u00e4itamisel, mis kasutavad libXpm'i. LibXpm'iga seotud privileegitud protsesside, nagu suid root'i lipuga programmide k\u00e4itamisel, annab see haavatavus v\u00f5imaluse oma privileegide t\u00f5stmiseks. <\/p>\n
Turvalisus on seotud libXpm-i t\u00f6\u00f6 erip\u00e4raga kokkut\u00f5mbunud XPM-failidega \u2014 XPM.Z v\u00f5i XPM.gz failide t\u00f6\u00f6tlemisel k\u00e4ivitab teek v\u00e4lja kutsumise execlp() v\u00e4liseid pakkimise utiliite (uncompress v\u00f5i gunzip), mille tee arvutatakse keskkonnamuutuja PATH p\u00f5hjal. R\u00fcnnak seisneb selles, et kasutaja saadab PATH-i nimekirjas oleva kergesti juurdep\u00e4\u00e4setava katalooge oma isiklikud uncompress v\u00f5i gunzip t\u00e4itmiseks m\u00f5eldud t\u00e4idetavad failid, mis t\u00e4idetakse, kui k\u00e4ivitatakse rakendus, mis kasutab libXpm-i. <\/p>\n