Nel tool PCP (Performance Co-Pilot), utilizzato per raccogliere statistiche sulle prestazioni del sistema (ad esempio, impiegato nell'interfaccia Cockpit), sono state individuate due vulnerabilità. La prima vulnerabilità (CVE-2024-45770) è presente nell'utilità pmpost, destinata all'invio di messaggi nel log e avviata con privilegi elevati in particolari condizioni. L'exploitation della vulnerabilità consente l'esecuzione di codice con diritti root, ma per effettuare l'attacco è necessario avere accesso a un'account PCP. L'attacco consiste nel sostituire con un link simbolico il file "/var/log/pcp/NOTICES", dove viene registrato un processo con diritti root senza l'uso del flag O_NOFOLLOW all'apertura del file.
La seconda vulnerabilità in PCP (CVE-2024-45769) coinvolge il processo in background pcmd e porta a un accesso alla memoria al di fuori del buffer quando vengono inviati dati specificamente formattati. La pericolosità della vulnerabilità è mitigata dal fatto che per impostazione predefinita il pcmd ha disabilitato la ricezione di richieste di rete da altri sistemi. Le vulnerabilità sono state corrette nella release PCP 6.3.1. I problemi sono stati individuati durante un audit condotto dagli sviluppatori del progetto SUSE.
Inoltre, è stata rilevata una vulnerabilità (CVE-2024-45593) nel gestore di pacchetti Nix, utilizzato nella distribuzione NixOS. Questa vulnerabilità consente di scrivere in aree arbitrarie del file system quando si estraggono file appositamente formattati nel formato NAR (Nix Archive), a seconda delle autorizzazioni con cui viene eseguito il gestore (nel caso di un processo in background di Nix, l'estrazione avviene con privilegi di root). Il problema si manifesta nella versione Nix 2.24 ed è stato risolto nella versione 2.24.6.
In aggiunta, si può menzionare la pubblicazione di un avviso riguardante la scoperta di una vulnerabilità critica che colpisce le distribuzioni GNU/Linux, permettendo l'esecuzione di codice nel sistema da remoto senza autenticazione. Attualmente non sono disponibili informazioni sui dettagli del problema e sui sottosistemi coinvolti; è stato indicato soltanto che, in accordo con gli sviluppatori delle distribuzioni, il rapporto iniziale sul problema è previsto per il 30 settembre, mentre il rapporto completo con i dettagli sarà reso pubblico il 6 ottobre. La vulnerabilità non ha ancora ricevuto un identificativo CVE. Secondo quanto dichiarato dal ricercatore che ha segnalato il problema, le aziende Canonical e Red Hat hanno assegnato un livello critico di gravità alla vulnerabilità (9.9 su 10).
Fonte: opennet.ru
