Një dobësi (CVE-2024-42415) është identifikuar në bibliotekën libgsf të zhvilluar nga Projekti GNOME, e cila mund të çojë në ekzekutimin e kodit kur përpunohet një skedar i formatuar posaçërisht. Dobësia shkaktohet nga një tejkalim i numrave të plotë që çon në shkrimin e të dhënave përtej buferit të caktuar kur përpunohet tabela e ndarjes së sektorit ndërsa analizon parametrat nga kreu i skedarëve në formatin CDF (Formati i Dokumentit të Përbër).
Biblioteka libgsf ofron funksione për analizimin e formateve të ndryshme të strukturuara të skedarëve, duke përfshirë arkivat dhe formatet e dokumenteve. Përveç aplikacioneve të tilla si AbiWord, Gnumeric, GNOME Commander dhe Nemo, biblioteka përdoret nga projekti GNOME në motorin e kërkimit tracker-miners dhe përdoret si një varësi në paketën e nxjerrjes së gjurmuesit, e cila automatikisht mbledh meta të dhëna për skedarët e rinj. .
Rreziku është se shërbimi GNOME që përdor libgsf indekson dhe analizon automatikisht të gjithë skedarët në drejtorinë kryesore pa asnjë veprim përdoruesi. Kështu, për një sulm, është e nevojshme të sigurohet që një skedar i krijuar posaçërisht të shfaqet në drejtorinë e përdoruesit (për shembull, në disa raste, për të futur një skedar në drejtorinë ~/Shkarkime, mjafton të klikoni në një lidhje në shfletuesin) dhe cenueshmëria do të shfrytëzohet gjatë indeksimit të tij automatik.
Dobësia u rregullua në libgsf 1.14.53. Mund të ndiqni publikimin e përditësimeve të shpërndarjeve tuaja në faqet e mëposhtme: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Në shumicën e shpërndarjeve GNOME, komponenti tracker-miners aktivizohet si parazgjedhje dhe ngarkohet si një varësi e fortë e menaxherit të skedarëve Nautilus (GNOME Files). Për të çaktivizuar tracker-miners për përdoruesin aktual, përdorni komandat e mëposhtme: systemctl --user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service tracker reset --hard
Burimi: opennet.ru
