GLSA 200502-30: cmd5checkpw: Local password leak vulnerability
| Опасность: | низкая |
| Заголовок: | cmd5checkpw: Local password leak vulnerability |
| Дата: | 25.02.2005 |
| Ошибки: | |
| ID: | 200502-30 |
Сводка
cmd5checkpw contains a flaw allowing local users to access other users cmd5checkpw passwords.Назначение
cmd5checkpw is a checkpassword compatible authentication program that uses CRAM-MD5 authentication mode.
Уязвимые пакеты
| Пакет | Уязвимый | Нетронутый | Архитектура(ы) |
|---|---|---|---|
| net-mail/cmd5checkpw | <= 0.22-r1 | >= 0.22-r2 | All supported architectures |
Описание
Florian Westphal discovered that cmd5checkpw is installed setuid cmd5checkpw but does not drop privileges before calling execvp(), so the invoked program retains the cmd5checkpw euid.
Воздействие
Local users that know at least one valid /etc/poppasswd user/password combination can read the /etc/poppasswd file.
Обход
There is no known workaround at this time.
Решение
All cmd5checkpw users should upgrade to the latest available version:
# emerge --sync
# emerge --ask --oneshot --verbose ">=net-mail/cmd5checkpw-0.22-r2"
Ссылки
Наличие
Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security:
Опасения?
Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.
Лицензия
Copyright 2010 Gentoo Foundation, Inc; текст ссылки принадлежит его владельцу(ам). Содержание этого документа распространяется на условиях лицензии Creative Commons - Attribution / Share Alike.