CVE-2026-34080
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
xdg-dbus-proxy przed wersją 0.1.7 zawiera podatność w parserze polityk, która pozwala na ominięcie ograniczeń podsłuchiwania. Proxy nieprawidłowo obsługuje przypadki takie jak 'eavesdrop ='true'' (ze spacją przed znakiem równości), co umożliwia klientom przechwytywanie komunikatów D-Bus, do których nie powinni mieć dostępu.
Ocena ryzyka
Atakujący może podsłuchiwać komunikację międzyprocesową, potencjalnie uzyskując dostęp do wrażliwych danych lub funkcji systemowych.
Rekomendacja
Zaktualizuj xdg-dbus-proxy do wersji 0.1.7 lub nowszej.
Inne podatności w xdg-dbus-proxy
Zobacz wszystkie- CVE-2026-94422Wysokie
xdg-dbus-proxy przed wersją 0.1.9 ma nieprawidłową implementację filtrowania wiadomości, która pozwala atakującemu na obejście zamierzonego filtrowania na sesyjnej magistrali D-Bus przez ustawienie numeru odpowiedzi na wiadomościach niebędących odpowiedziami. Złośliwa lub skompromitowana aplikacja Flatpak może wykorzystać to do wykonania kodu poza sandboxem.
- CVE-2026-93676Niskie
xdg-dbus-proxy nieprawidłowo filtruje komunikaty rozgłoszeniowe D-Bus, omijając skonfigurowane ograniczenia ścieżek, interfejsów i elementów. Umożliwia to aplikacji Flatpak działającej w piaskownicy przechwytywanie sygnałów rozgłoszeniowych na sesyjnej szynie D-Bus oraz szynie AT-SPI, które powinny być ograniczone.
Oryginalny opis (angielski, źródło NVD)
xdg-dbus-proxy is a filtering proxy for D-Bus connections. Prior to 0.1.7, a policy parser vulnerability allows bypassing eavesdrop restrictions. The proxy checks for eavesdrop=true in policy rules but fails to handle eavesdrop ='true' (with a space before the equals sign) and similar cases. Clients can intercept D-Bus messages they should not have access to. This vulnerability is fixed in 0.1.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS