CVE-2017-12424
KrytyczneStreszczenie
W narzędziu newusers w shadow przed wersją 4.5 istnieje możliwość manipulacji wewnętrznymi strukturami danych w sposób niezamierzony przez autorów. Wprowadzenie nieprawidłowych danych może prowadzić do awarii (z przepełnieniem bufora lub inną korupcją pamięci) lub innych nieokreślonych zachowań.
Ocena ryzyka
Podatność ta może prowadzić do naruszenia granic uprawnień w środowiskach hostingowych, gdzie panel sterowania pozwala na tworzenie subkont przez nieuprzywilejowane konta użytkowników.
Rekomendacja
Zaleca się aktualizację do wersji shadow 4.5 lub nowszej, aby zlikwidować tę podatność oraz ograniczenie dostępu do narzędzia newusers dla nieuprzywilejowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
In shadow before 4.5, the newusers tool could be made to manipulate internal data structures in ways unintended by the authors. Malformed input may lead to crashes (with a buffer overflow or other memory corruption) or other unspecified behaviors. This crosses a privilege boundary in, for example, certain web-hosting environments in which a Control Panel allows an unprivileged user account to create subaccounts.