CVE-2026-88924
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W backendzie administracyjnym gvfs wykryto lukę. Uprzywilejowany demon gvfsd-admin zmienia właściciela nowo utworzonych prywatnych gniazd D-Bus, wywołując podążającą za dowiązaniami funkcję chown() na ścieżce w katalogu kontrolowanym przez użytkownika. Lokalny atakujący może wykorzystać warunek wyścigu TOCTOU i podmienić ścieżkę gniazda na dowiązanie symboliczne wskazujące na dowolny plik należący do roota, co prowadzi do zmiany właściciela tego pliku na identyfikator atakującego i pełnej eskalacji uprawnień do roota.
Ocena ryzyka
Uwierzytelniony lokalny atakujący może zmodyfikować krytyczne pliki systemowe i uzyskać pełne uprawnienia roota, co prowadzi do całkowitego przejęcia systemu. Jest to poważne zagrożenie dla bezpieczeństwa systemu.
Rekomendacja
Zaktualizuj gvfs do wersji zawierającej poprawkę, która eliminuje podatność TOCTOU. Do czasu aktualizacji ogranicz dostęp lokalny do systemu i monitoruj nietypowe zmiany właściciela plików systemowych.
Inne podatności w gvfs
Zobacz wszystkie- CVE-2026-84270Średnie
W backendzie MTP w gvfs występuje błąd polegający na tym, że funkcja do_read() w gvfsbackendmtp.c ufa długości danych zwracanych przez urządzenie bez ograniczania jej do rozmiaru żądanego przez klienta. Złośliwe urządzenie MTP może odpowiedzieć większą liczbą bajtów niż żądano, co prowadzi do odczytu pamięci poza zamierzonymi granicami i może spowodować błąd segmentacji procesu gvfsd-mtp, prowadząc do odmowy usługi.
- CVE-2026-84269Średnie
W backendzie AFP w gvfs występuje błąd polegający na tym, że podczas montowania udziału złośliwy serwer AFP może spowodować, że ścieżka odczytu DSI przetworzy długość przekraczającą rozmiar żądany przez klienta. Funkcja nie weryfikuje długości dostarczonej przez serwer względem wstępnie przygotowanego bufora odpowiedzi, co prowadzi do dostępu poza zamierzone granice. Problem ten pozwala złośliwemu serwerowi na przepełnienie bufora sterty i awarię procesu gvfsd-afp, prowadząc do odmowy usługi.
- CVE-2026-84268Wysokie
W backendzie SFTP w gvfs wykryto błąd. Podczas montowania udziału i odczytu pliku złośliwy serwer SFTP może spowodować, że funkcja read_reply() przetworzy długość większą niż żądana przez klienta, co prowadzi do zapisu poza zamierzone granice pamięci. Może to spowodować uszkodzenie sterty w procesie gvfsd-sftp, prowadząc do odmowy usługi lub potencjalnie do wykonania dowolnego kodu.
- CVE-2026-84267Średnie
W backendzie SFTP w gvfs występuje błąd polegający na tym, że funkcja read_string() alokuje bufor o określonej długości, ale nie weryfikuje, czy bufor jest całkowicie wypełniony, pozostawiając resztę bufora z niezainicjalizowaną zawartością sterty. Jeśli serwer wyśle krótką odpowiedź FXP_HANDLE, te niezainicjalizowane bajty są traktowane jako uchwyt pliku. Klient następnie odsyła te bajty z powrotem do serwera w kolejnych żądaniach. Przy długości 128 bajtów złośliwy serwer może deterministycznie odczytać niezainicjalizowaną pamięć sterty z procesu gvfsd-sftp, ujawniając bazę sterty i adres załadowania biblioteki libgio, co prowadzi do deterministycznego obejścia ASLR.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the admin backend of gvfs. The privileged gvfsd-admin daemon changes the ownership of newly created private D-Bus sockets by calling the link-following chown() function on a pathname inside a user-controlled directory. A local attacker can exploit this via a Time-of-Check Time-of-Use (TOCTOU) race condition and exchange the socket pathname with a symbolic link pointing to an arbitrary root-owned file (such as /etc/pam.d/su). The daemon subsequently follows the symlink and changes the ownership of the targeted root-owned file to the attacker's user ID. This allows an authenticated local attacker to modify critical system files, leading to a full local privilege escalation to root.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS