ĂshtĂ« publikuar njĂ« version korrektues i bibliotekĂ«s libXpm 3.5.15, e zhvilluar nga projekti X.Org dhe e pĂ«rdorur pĂ«r pĂ«rpunimin e skedarĂ«ve nĂ« formatin XPM. NĂ« versionin e ri janĂ« rregulluar tri vulnerabilitete, dy prej tĂ« cilave (CVE-2022-46285, CVE-2022-44617) shkaktojnĂ« ngecje gjatĂ« pĂ«rpunimit tĂ« skedarĂ«ve tĂ« projektuar posaçërisht XPM. Vulnerabiliteti i tretĂ« (CVE-2022-4883) lejon ekzekutimin e komandave tĂ« rastĂ«sishme gjatĂ« ekzekutimit tĂ« aplikacioneve qĂ« pĂ«rdorin libXpm. GjatĂ« ekzekutimit tĂ« proceseve privilegjuar tĂ« lidhura me libXpm, pĂ«r shembull, programe me flag suid root, vulnerabiliteti ofron mundĂ«sinĂ« pĂ«r tĂ« rritur privilegjet.
Vulnerabiliteti shkaktohet nga veçoria e punĂ«s sĂ« libXpm me skedarĂ« tĂ« kompresuar XPM â gjatĂ« pĂ«rpunimit tĂ« skedarĂ«ve XPM.Z ose XPM.gz, biblioteka pĂ«rmes thirrjes execlp() ekzekuton utilitetet e jashtme tĂ« dekompresimit (uncompress ose gunzip), rruga e tĂ« cilave llogaritet nĂ« bazĂ« tĂ« variablĂ«s sĂ« mjedisit PATH. Sulmi pĂ«rfshin vendosjen nĂ« njĂ« direktorium tĂ« aksesueshĂ«m pĂ«r pĂ«rdoruesin, i pranishĂ«m nĂ« listĂ«n PATH, skedarĂ« tĂ« ekzekutueshĂ«m uncompress ose gunzip tĂ« pĂ«rdoruesit, tĂ« cilat do tĂ« ekzekutohen nĂ« rastin e nisjes sĂ« aplikacioneve qĂ« pĂ«rdorin libXpm.
Vulnerabiliteti Ă«shtĂ« eliminuar duke zĂ«vendĂ«suar thirrjen execlp me execl duke pĂ«rdorur rrugĂ«t absolute pĂ«r utilitetet. PĂ«r mĂ« tepĂ«r, Ă«shtĂ« shtuar opsioni i ndĂ«rtimit "âdisable-open-zfile" qĂ« lejon çaktivizimin e pĂ«rpunimit tĂ« skedarĂ«ve tĂ« kompresuar dhe thirrjen e utiliteteve tĂ« jashtme pĂ«r dekompresim.
Burimi: opennet.ru
