blob: afc1991abac83332b3e4a28ae08e9adb8fcaf4e0 (
plain) (
blame)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
|
#use wml::debian::translation-check translation="a344c983d62e0f902caa8d31afb51481f4b569ad" maintainer="Lev Lamberov"
<define-tag moreinfo>Себастиан Крамер обнаружил проблему в утилите modprobe,
которая может использоваться локальными пользователями для запуска произвольных команд от лица суперпользователя в том случае,
если на машине запущено ядро с включённой опцией kmod.
<p>Опция kmod позволяет ядру динамически загружать модули ядра, если
требуемая функциональность отсутствует в запущенном ядре. Это выполняется
благодаря запуску команды modprobe с требуемым модулем в качестве параметра.
Этот параметр может быть изменён пользователями, например, путём открытия
несуществующих в данный момент файлов в файловой системе devfs, либо при попытке обращения к несуществующему
сетевому интерфейсу. Поскольку modprobe неправильно экранирует метасимволы командной оболочки
при вызове внешних команд, либо неправильно выполняет проверку последнего параметра на предмет того, является
ли он именем модуля, постольку пользователи могут запускать произвольные команды.
<p>Эта проблема была исправлена в версии 2.3.11-12, рекомендуется как можно скорее
обновить пакет modutils.</define-tag>
<define-tag description>локальная уязвимость</define-tag>
# do not modify the following line
#include '$(ENGLISHDIR)/security/2000/20001120.data'
|
