CVE-2017-11741
WysokieStreszczenie
Wtyczka HashiCorp Vagrant dla VMware Fusion przed wersją 4.0.24 stosuje słabe uprawnienia dla skryptów pomocniczych sudo, co pozwala lokalnym użytkownikom na wykonywanie dowolnego kodu z uprawnieniami roota poprzez nadpisanie jednego ze skryptów.
Ocena ryzyka
Podatność ta stwarza ryzyko dla organizacji, ponieważ lokalni użytkownicy mogą uzyskać nieautoryzowany dostęp do systemu z uprawnieniami administratora.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 4.0.24 lub nowszej oraz przegląd uprawnień skryptów pomocniczych sudo.
Inne podatności w HashiCorp Vagrant VMware Fusion plugin
Zobacz wszystkie- CVE-2017-12579Wysokie
Wtyczka HashiCorp Vagrant VMware Fusion w wersji 4.0.24 i wcześniejszych zawiera niebezpieczny binarny wrapper suid, który pozwala użytkownikowi niebędącemu administratorem uzyskać dostęp do powłoki roota.
- CVE-2017-7642Wysokie
Wtyczka HashiCorp Vagrant VMware Fusion przed wersją 4.0.21 zawiera lukę, która pozwala lokalnym użytkownikom uzyskać uprawnienia roota. Problem wynika z braku weryfikacji ścieżki do zakodowanego skryptu Ruby oraz nieoczyszczenia zmiennej PATH.
Oryginalny opis (angielski, źródło NVD)
HashiCorp Vagrant VMware Fusion plugin (aka vagrant-vmware-fusion) before 4.0.24 uses weak permissions for the sudo helper scripts, allows local users to execute arbitrary code with root privileges by overwriting one of the scripts.