CVE-2025-9615
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W NetworkManager wykryto lukę umożliwiającą nieuprzywilejowanym użytkownikom dostęp do plików innych użytkowników podczas konfiguracji sieci. Demon działający z uprawnieniami roota może odczytywać pliki należące do innych użytkowników niż ten, który dodał połączenie.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych przechowywanych w plikach konfiguracyjnych sieci, do których niepowołane osoby mogą uzyskać dostęp.
Rekomendacja
Należy zaktualizować NetworkManager do najnowszej wersji zawierającej poprawkę oraz ograniczyć uprawnienia dostępu do plików konfiguracyjnych sieci.
Inne podatności w NetworkManager
Zobacz wszystkie- CVE-2026-19685Wysokie
NetworkManager nie zastosował ograniczenia private_user do właściwości połączeń 802-1x.ca-path i phase2-ca-path. Ta niekompletna poprawka dla CVE-2025-9615 pozwala nieuprzywilejowanemu użytkownikowi lokalnemu wskazać ścieżkę CA w profilu połączenia WPA-Enterprise (802.1X) na katalog kontrolowany przez atakującego, co pozwala obejść walidację certyfikatu serwera i umożliwia kradzież poświadczeń przez fałszywy punkt dostępowy.
- CVE-2026-10805Średnie
Podatność w NetworkManager umożliwia lokalną eskalację uprawnień poprzez przetwarzanie nieprawidłowo sformatowanych adresów URL MUD w backendzie dhclient. Lokalny użytkownik może wykorzystać tę wadę do eskalacji uprawnień, wywołując skrypt za pomocą spreparowanego adresu URL MUD, pod warunkiem że administrator jawnie skonfigurował NetworkManager do używania dhclient. Problem nie dotyczy domyślnych konfiguracji NetworkManager.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in NetworkManager. The NetworkManager package allows access to files that may belong to other users. NetworkManager allows non-root users to configure the system's network. The daemon runs with root privileges and can access files owned by users different from the one who added the connection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS