CVE-2004-0884
WysokieStreszczenie
Biblioteki (1) libsasl i (2) libsasl2 w Cyrus-SASL w wersji 2.1.18 i wcześniejszych ufają zmiennej środowiskowej SASL_PATH w celu znalezienia dostępnych wtyczek SASL. Umożliwia to lokalnym użytkownikom wykonanie dowolnego kodu poprzez modyfikację SASL_PATH, aby wskazywał na złośliwe programy.
Ocena ryzyka
Ryzyko związane z tą podatnością polega na możliwości wykonania złośliwego kodu przez lokalnych użytkowników, co może prowadzić do kompromitacji systemu. Organizacje powinny być świadome, że atakujący mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu.
Rekomendacja
Zaleca się aktualizację do nowszej wersji Cyrus-SASL, która nie ufa zmiennej SASL_PATH, oraz ograniczenie dostępu do zmiennej środowiskowej SASL_PATH dla lokalnych użytkowników.
Powiązane podatności
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79872Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79871Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79870Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79869Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79868Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79867Krytyczne
Brak opisu podatności w bazie NVD. Nie można określić charakteru ani zakresu problemu na podstawie dostępnych danych.
Oryginalny opis (angielski, źródło NVD)
The (1) libsasl and (2) libsasl2 libraries in Cyrus-SASL 2.1.18 and earlier trust the SASL_PATH environment variable to find all available SASL plug-ins, which allows local users to execute arbitrary code by modifying the SASL_PATH to point to malicious programs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS