CVE-2024-36053
KrytyczneStreszczenie
W pakiecie mintupload do wersji 4.2.0 dla Linux Mint występuje problem z niewłaściwym przetwarzaniem nazwy usługi, co prowadzi do możliwości wstrzyknięcia poleceń za pomocą metaznaków powłoki w funkcjach check_connection, drop_data_received_cb oraz Service.remove. Użytkownik może zmodyfikować nazwę usługi w pliku ~/.linuxmint/mintUpload/services/service.
Ocena ryzyka
Podatność ta może umożliwić atakującym wykonanie dowolnych poleceń w systemie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji. W przypadku wykorzystania tej luki, atakujący może uzyskać pełną kontrolę nad systemem.
Rekomendacja
Zaleca się aktualizację pakietu mintupload do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy monitorować i ograniczać dostęp do plików konfiguracyjnych, aby zapobiec nieautoryzowanym modyfikacjom.
Oryginalny opis (angielski, źródło NVD)
In the mintupload package through 4.2.0 for Linux Mint, service-name mishandling leads to command injection via shell metacharacters in check_connection, drop_data_received_cb, and Service.remove. A user can modify a service name in a ~/.linuxmint/mintUpload/services/service file.