CVE-2024-52336
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W pakiecie Tuned wykryto podatność na wstrzykiwanie skryptów. Funkcja D-Bus `instance_create()` może być wywoływana przez lokalnie zalogowanych użytkowników bez uwierzytelniania, co pozwala nieuprzywilejowanemu użytkownikowi na przekazanie dowolnych skryptów lub programów za pomocą opcji `script_pre` lub `script_post`, które są następnie wykonywane przez Tuned z uprawnieniami roota, umożliwiając eskalację uprawnień.
Ocena ryzyka
Ryzyko polega na tym, że lokalny atakujący bez uprawnień może uzyskać pełną kontrolę nad systemem poprzez wykonanie dowolnego kodu z uprawnieniami roota, co prowadzi do eskalacji uprawnień i potencjalnego przejęcia całego systemu.
Rekomendacja
Należy niezwłocznie zaktualizować pakiet Tuned do wersji, która usuwa tę podatność, oraz ograniczyć dostęp do interfejsu D-Bus dla nieuprzywilejowanych użytkowników poprzez odpowiednie polityki bezpieczeństwa.
Inne podatności w Tuned
Oryginalny opis (angielski, źródło NVD)
A script injection vulnerability was identified in the Tuned package. The `instance_create()` D-Bus function can be called by locally logged-in users without authentication. This flaw allows a local non-privileged user to execute a D-Bus call with `script_pre` or `script_post` options that permit arbitrary scripts with their absolute paths to be passed. These user or attacker-controlled executable scripts or programs could then be executed by Tuned with root privileges that could allow attackers to local privilege escalation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS