CVE-2017-8288
WysokieStreszczenie
Wersje gnome-shell od 3.22 do 3.24.1 nieprawidłowo obsługują rozszerzenia, które nie ładują się ponownie, co może prowadzić do pozostawienia aktywnych rozszerzeń na ekranie blokady. Umożliwia to osobom postronnym uruchamianie aplikacji oraz przeglądanie informacji z tych rozszerzeń.
Ocena ryzyka
Organizacja może być narażona na ujawnienie wrażliwych informacji oraz możliwość uruchamiania nieautoryzowanych poleceń przez osoby trzecie, co stwarza poważne zagrożenie dla bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację gnome-shell do najnowszej wersji, aby usunąć tę podatność oraz przeglądanie i ograniczenie używanych rozszerzeń na ekranie blokady.
Inne podatności w gnome-shell
Zobacz wszystkie- CVE-2026-91786Średnie
W GNOME Shell wykryto błąd polegający na braku walidacji wymiarów ikony zadeklarowanych przez zdalnego dostawcę wyszukiwania przesyłane przez D-Bus względem rzeczywistego rozmiaru bufora danych. Złośliwy lub przejęty dostawca wyszukiwania może podać zbyt duże wymiary ikony, powodując odczyt poza zakresem bufora. Może to doprowadzić do awarii procesu GNOME Shell i przerwania sesji użytkownika oraz potencjalnie ujawnić dane z sąsiedniej pamięci.
- CVE-2014-7300Wysokie
GNOME Shell w wersji 3.14.x przed 3.14.1 nie ogranicza całkowitego zużycia pamięci przez aktywne żądania PrtSc, co pozwala atakującym w pobliżu na wykonanie dowolnych poleceń na nieobserwowanym stanowisku roboczym.
Oryginalny opis (angielski, źródło NVD)
gnome-shell 3.22 through 3.24.1 mishandles extensions that fail to reload, which can lead to leaving extensions enabled in the lock screen. With these extensions, a bystander could launch applications (but not interact with them), see information from the extensions (e.g., what applications you have opened or what music you were playing), or even execute arbitrary commands. It all depends on what extensions a user has enabled. The problem is caused by lack of exception handling in js/ui/extensionSystem.js.