Sikkerhedsoplysninger / 2019 / Sikkerhedsoplysninger -- DSA-4462-1 dbus

Debians sikkerhedsbulletin

DSA-4462-1 dbus -- sikkerhedsopdatering

Rapporteret den:

13. jun 2019

Berørte pakker:

dbus

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 930375.
I Mitres CVE-ordbog: CVE-2019-12749.

Yderligere oplysninger:

Joe Vennix opdagede en sårbarhed i forbindelse med omgåelse af autentifikation i dbus, det asynkrone kommunikationssystem mellem processer. Implementeringen af autentifikationsmekanismen DBUS_COOKIE_SHA1, var sårbar over for et symbolsk link-angreb. En lokal angriber kunne drage nytte af fejlen til at omgå autentifikation, og forbinde sig til en DBusServer med forøgede rettigheder.

Standardsystemet og sessions-dbus-daemon'er i deres standardopsætning, er ikke påvirket af denne sårbarhed.

Sårbarheden blev løst ved at opgradere dbus til en ny opstrømsversion, 1.10.28, som indeholder yderligere rettelser.

I den stabile distribution (stretch), er dette problem rettet i version 1.10.28-0+deb9u1.

Vi anbefaler at du opgraderer dine dbus-pakker.

For detaljeret sikkerhedsstatus vedrørende dbus, se dens sikkerhedssporingssidede på: https://security-tracker.debian.org/tracker/dbus