CERT-FI haavoittuvuustiedote 103/2010

9.7.2010

Vakava haavoittuvuus Ubuntu-käyttöjärjestelmässä

Kohde:	- palvelimet ja palvelinsovellukset - työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- käyttövaltuuksien laajentaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Ubuntu-käyttöjärjestelmässä käytössä olevasta pam_motd-moduulista on löytynyt haavoittuvuus. Kyseinen moduuli luo tai muokkaa sisäänkirjautuvan käyttäjän kotihakemistossa tietyssä alihakemistossa olevaa tiedostoa. Moduulin suorittamat kirjoitusoperaatiot tehdään pääkäyttäjän oikeuksin, joten sopivalla tiedostolinkityksellä käyttäjän voi olla mahdollista saada kirjoitusoikeus mihin tahansa käyttöjärjestelmän tiedostoon.

Haavoittuvuuden hyväksikäyttö on yksinkertaista ja siihen on olemassa julkinen hyväksikäyttömenetelmä.

HAAVOITTUVAT OHJELMISTOT:

• Ubuntu 9.10 (libpam-modules ennen versiota 1.1.0-2ubuntu1.1)
• Ubuntu 10.04 LTS (libpam-modules ennen versiota 1.1.1-2ubuntu5)
  

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä ohjelmistot valmistajan ohjeen mukaisesti.

LISÄTIETOA:

• https://lists.ubuntu.com/archives/ubuntu-security-announce/2010-July/001117.html
• https://twitter.com/jonoberheide/status/18009527979
• CVE-2010-0832
  

PÄIVITYSHISTORIA:

9.7.2010, kello 8.35: Julkaistu

Sivua päivitetty 09.07.2010

Tulostusversio