In de PCP-tool (Performance Co-Pilot), gebruikt voor het verzamelen van prestatiestatistieken van het systeem (bijvoorbeeld in de interface Cockpit), zijn twee kwetsbaarheden ontdekt. De eerste kwetsbaarheid (CVE-2024-45770) bevindt zich in de utility pmpost, die is bedoeld voor het verzenden van berichten naar de log en die onder bepaalde omstandigheden met verhoogde privileges wordt uitgevoerd. Het benutten van deze kwetsbaarheid stelt een aanvaller in staat om code met root-rechten uit te voeren, maar voor de aanval is toegang tot een PCP-account vereist. De aanval berust op het vervangen van de symbolische link naar het bestand "/var/log/pcp/NOTICES", waarin vanuit het proces met root-rechten wordt geschreven zonder de vlag O_NOFOLLOW te gebruiken bij het openen van het bestand.
De tweede kwetsbaarheid in PCP (CVE-2024-45769) heeft betrekking op het achtergrondproces pcmd en leidt tot een geheugenaanroep buiten de buffer bij het verzenden van speciaal opgemaakte gegevens. Het gevaar van deze kwetsbaarheid wordt verminderd doordat het ontvangen van netwerkaanvragen van andere systemen standaard is uitgeschakeld in pcmd. De kwetsbaarheden zijn verholpen in de release van PCP 6.3.1. De problemen werden ontdekt tijdens een audit uitgevoerd door ontwikkelaars van het SUSE-project.
Daarnaast is er een kwetsbaarheid (CVE-2024-45593) ontdekt in de pakketbeheerder Nix, die wordt gebruikt in de distributie NixOS. Deze kwetsbaarheid stelt een aanvaller in staat om, bij het uitpakken van speciaal opgemaakte bestanden in het NAR-formaat (Nix Archive), te schrijven naar willekeurige gebieden van het bestandssysteem, afhankelijk van de toegangsrechten waarmee de handler wordt uitgevoerd (bij gebruik van het achtergrondproces Nix, vindt het uitpakken plaats met root-rechten). Dit probleem doet zich voor in de Nix-tak 2.24 en is verholpen in release 2.24.6.
Verder kan worden opgemerkt dat er een waarschuwing is gepubliceerd voor de ontdekking van een kritieke kwetsbaarheid die invloed heeft op GNU/Linux-distributies en die het mogelijk maakt om op afstand zonder authenticatie code in het systeem uit te voeren. Momenteel wordt er geen informatie gegeven over de aard van het probleem en de subsystemen die ermee te maken hebben; het is alleen vermeld dat, in overleg met de ontwikkelaars van de distributies, het voorlopige rapport over het probleem op 30 september zal worden gepubliceerd, gevolgd door een volledig rapport met details op 6 oktober. Aan het CVE-probleem is nog geen nummer toegewezen. Volgens de onderzoeker die het probleem heeft ontdekt, hebben de bedrijven Canonical en Red Hat de kwetsbaarheid een kritisch gevaarniveau toegekend (9.9 van 10).
Bron: opennet.ru
