Локальные злоумышленники могут получить полный root-доступ к машинам с Linux, воспользовавшись недавно обнаруженной уязвимостью безопасности в библиотеке GNU C (она же glibc).
Уязвимость переполнения буфера на основе кучи, отслеживаемая как CVE-2023-6246, коренится в функции __vsyslog_internal() glibc, которая используется syslog() и vsyslog() для ведения системного журнала. Говорят, что он был случайно введен в августе 2022 года с выпуском glibc 2.37.
"Этот недостаток допускает локальное повышение привилегий, позволяя непривилегированному пользователю получить полный root-доступ", - сказал Саид Аббаси, менеджер по продуктам подразделения исследований угроз Qualys, добавив, что это влияет на основные дистрибутивы Linux, такие как Debian, Ubuntu и Fedora.
Субъект угрозы может воспользоваться этой ошибкой для получения повышенных разрешений с помощью специально созданных входных данных для приложений, использующих эти функции ведения журнала.
"Хотя для использования уязвимости требуются особые условия (например, необычно длинный аргумент argv[0] или openlog() ident), ее влияние значительно из-за широкого использования уязвимой библиотеки", - отметил Аббаси.
Компания по кибербезопасности сообщила, что дальнейший анализ glibc выявил еще две ошибки в функции __vsyslog_internal() (CVE-2023-6779 и CVE-2023-6780) и третью ошибку в функции qsort() библиотеки, которая может привести к повреждению памяти.
Уязвимость, обнаруженная в qsort (), затронула все версии glibc, выпущенные с 1992 года.
Разработка началась почти через четыре месяца после того, как Qualys подробно описала другой серьезный недостаток в той же библиотеке под названием Looney Tunables (CVE-2023-4911, оценка CVSS: 7,8), который может привести к повышению привилегий.
"Эти недостатки подчеркивают критическую необходимость строгих мер безопасности при разработке программного обеспечения, особенно для основных библиотек, широко используемых во многих системах и приложениях", - сказал Аббаси.
Уязвимость переполнения буфера на основе кучи, отслеживаемая как CVE-2023-6246, коренится в функции __vsyslog_internal() glibc, которая используется syslog() и vsyslog() для ведения системного журнала. Говорят, что он был случайно введен в августе 2022 года с выпуском glibc 2.37.
"Этот недостаток допускает локальное повышение привилегий, позволяя непривилегированному пользователю получить полный root-доступ", - сказал Саид Аббаси, менеджер по продуктам подразделения исследований угроз Qualys, добавив, что это влияет на основные дистрибутивы Linux, такие как Debian, Ubuntu и Fedora.
Субъект угрозы может воспользоваться этой ошибкой для получения повышенных разрешений с помощью специально созданных входных данных для приложений, использующих эти функции ведения журнала.
"Хотя для использования уязвимости требуются особые условия (например, необычно длинный аргумент argv[0] или openlog() ident), ее влияние значительно из-за широкого использования уязвимой библиотеки", - отметил Аббаси.
Компания по кибербезопасности сообщила, что дальнейший анализ glibc выявил еще две ошибки в функции __vsyslog_internal() (CVE-2023-6779 и CVE-2023-6780) и третью ошибку в функции qsort() библиотеки, которая может привести к повреждению памяти.
Уязвимость, обнаруженная в qsort (), затронула все версии glibc, выпущенные с 1992 года.
Разработка началась почти через четыре месяца после того, как Qualys подробно описала другой серьезный недостаток в той же библиотеке под названием Looney Tunables (CVE-2023-4911, оценка CVSS: 7,8), который может привести к повышению привилегий.
"Эти недостатки подчеркивают критическую необходимость строгих мер безопасности при разработке программного обеспечения, особенно для основных библиотек, широко используемых во многих системах и приложениях", - сказал Аббаси.
