GLSA 200911-04: dstat: Untrusted search path

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	dstat: Untrusted search path
Дата:	25.11.2009
Ошибки:	#293497
ID:	200911-04

Сводка

An untrusted search path vulnerability in the dstat might result in the execution of arbitrary code.

Назначение

dstat is a versatile system resource monitor written in Python.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
sys-apps/dstat	< 0.6.9-r1	>= 0.6.9-r1	All supported architectures

Описание

Robert Buchholz of the Gentoo Security Team reported that dstat includes the current working directory and subdirectories in the Python module search path (sys.path) before calling "import".

Воздействие

A local attacker could entice a user to run "dstat" from a directory containing a specially crafted Python module, resulting in the execution of arbitrary code with the privileges of the user running the application.

Обход

Do not run "dstat" from untrusted working directories.

Решение

All dstat users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=sys-apps/dstat-0.6.9-r1"

Ссылки

CVE-2009-3894

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200911-04.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.