ะะฟัะฑะปะธะบะพะฒะฐะฝ ะบะพััะตะบัะธััััะธะน ะฒัะฟััะบ ะฑะธะฑะปะธะพัะตะบะธ libXpm 3.5.15, ัะฐะทะฒะธะฒะฐะตะผะพะน ะฟัะพะตะบัะพะผ X.Org ะธ ะฟัะธะผะตะฝัะตะผะพะน ะดะปั ะพะฑัะฐะฑะพัะบะธ ัะฐะนะปะพะฒ ะฒ ัะพัะผะฐัะต XPM. ะ ะฝะพะฒะพะน ะฒะตััะธะธ ััััะฐะฝะตะฝั ััะธ ััะทะฒะธะผะพััะธ, ะดะฒะต ะธะท ะบะพัะพััั (CVE-2022-46285, CVE-2022-44617) ะฟัะธะฒะพะดัั ะบ ะทะฐัะธะบะปะธะฒะฐะฝะธั ะฟัะธ ะพะฑัะฐะฑะพัะบะต ัะฟะตัะธะฐะปัะฝะพ ะพัะพัะผะปะตะฝะฝัั ัะฐะนะปะพะฒ XPM. ะขัะตััั ััะทะฒะธะผะพััั (CVE-2022-4883) ะฟะพะทะฒะพะปัะตั ะทะฐะฟัััะธัั ะฟัะพะธะทะฒะพะปัะฝัะต ะบะพะผะฐะฝะดั ะฟัะธ ะฒัะฟะพะปะฝะตะฝะธะธ ะฟัะธะปะพะถะตะฝะธะน, ะธัะฟะพะปัะทัััะธั libXpm. ะัะธ ะทะฐะฟััะบะต ัะฒัะทะฐะฝะฝัั ั libXpm ะฟัะธะฒะธะปะตะณะธัะพะฒะฐะฝะฝัั ะฟัะพัะตััะพะฒ, ะฝะฐะฟัะธะผะตั, ะฟัะพะณัะฐะผะผ ั ัะปะฐะณะพะผ suid root, ััะทะฒะธะผะพััั ะดะฐัั ะฒะพะทะผะพะถะฝะพััั ะฟะพะดะฝััั ัะฒะพะธ ะฟัะธะฒะธะปะตะณะธะธ.
ะฃัะทะฒะธะผะพััั ะฒัะทะฒะฐะฝะฐ ะพัะพะฑะตะฝะฝะพัััั ัะฐะฑะพัั libXpm ัะพ ัะถะฐััะผะธ ัะฐะนะปะฐะผะธ XPM โ ะฟัะธ ะพะฑัะฐะฑะพัะบะต ัะฐะนะปะพะฒ XPM.Z ะธะปะธ XPM.gz ะฑะธะฑะปะธะพัะตะบะฐ ะฟัะธ ะฟะพะผะพัะธ ะฒัะทะพะฒะฐ execlp() ะทะฐะฟััะบะฐะตั ะฒะฝะตัะฝะธะต ััะธะปะธัั ัะฐัะฟะฐะบะพะฒะบะธ (uncompress ะธะปะธ gunzip), ะฟััั ะบ ะบะพัะพััะผ ะฒััะธัะปัะตััั ะฝะฐ ะพัะฝะพะฒะต ะฟะตัะตะผะตะฝะฝะพะน ะพะบััะถะตะฝะธั PATH. ะัะฐะบะฐ ัะฒะพะดะธััั ะบ ัะฐะทะผะตัะตะฝะธั ะฒ ะดะพัััะฟะฝะพะผ ะฟะพะปัะทะพะฒะฐัะตะปั ะบะฐัะฐะปะพะณะต, ะฟัะธัััััะฒัััะตะผ ะฒ ัะฟะธัะบะต PATH, ัะพะฑััะฒะตะฝะฝัั ะธัะฟะพะปะฝัะตะผัั ัะฐะนะปะพะฒ uncompress ะธะปะธ gunzip, ะบะพัะพััะต ะฑัะดัั ะฒัะฟะพะปะฝะตะฝั ะฒ ัะปััะฐะต ะทะฐะฟััะบะฐ ะฟัะธะปะพะถะตะฝะธั, ะธัะฟะพะปัะทัััะตะณะพ libXpm.
ะฃัะทะฒะธะผะพััั ััััะฐะฝะตะฝะฐ ะทะฐะผะตะฝะพะน ะฒัะทะพะฒะฐ execlp ะฝะฐ execl ั ะธัะฟะพะปัะทะพะฒะฐะฝะธะตะผ ะฐะฑัะพะปััะฝัั
ะฟััะตะน ะบ ััะธะปะธัะฐะผ. ะะพะฟะพะปะฝะธัะตะปัะฝะพ ะดะพะฑะฐะฒะปะตะฝะฐ ัะฑะพัะพัะฝะฐั ะพะฟัะธั ยซโdisable-open-zfileยป ะฟะพะทะฒะพะปัััะฐั ะพัะบะปััะธัั ะพะฑัะฐะฑะพัะบั ัะถะฐััั
ัะฐะนะปะพะฒ ะธ ะฒัะทะพะฒ ะฒะฝะตัะฝะธั
ััะธะปะธั ะดะปั ัะฐัะฟะฐะบะพะฒะบะธ.
เปเบซเบผเปเบเบเปเปเบกเบนเบ: opennet.ru