GLSA 201201-16: X.Org X Server/X Keyboard Configuration Database: Screen lock bypass

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	X.Org X Server/X Keyboard Configuration Database: Screen lock bypass
Дата:	27.01.2012
Ошибки:	#399347
ID:	201201-16

Сводка

A debugging functionality in the X.Org X Server that is bound to a hotkey by default can be used by local attackers to circumvent screen locking utilities.

Назначение

The X Keyboard Configuration Database provides keyboard configuration for various X server implementations.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
x11-misc/xkeyboard-config	< 2.4.1-r3	>= 2.4.1-r3	amd64, arm, hppa, x86

Описание

Starting with the =x11-base/xorg-server-1.11 package, the X.Org X Server again provides debugging functionality that can be used terminate an application that exclusively grabs mouse and keyboard input, like screen locking utilities.

Gu1 reported that the X Keyboard Configuration Database maps this functionality by default to the Ctrl+Alt+Numpad * key combination.

Воздействие

A physically proximate attacker could exploit this vulnerability to gain access to a locked X session without providing the correct credentials.

Обход

Downgrade to any version of x11-base/xorg-server below x11-base/xorg-server-1.11:

      # emerge --oneshot --verbose "<x11-base/xorg-server-1.11"

Решение

All xkeyboard-config users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose
      ">=x11-misc/xkeyboard-config-2.4.1-r3"

NOTE: The X.Org X Server 1.11 was only stable on the AMD64, ARM, HPPA, and x86 architectures. Users of the stable branches of all other architectures are not affected and will be directly provided with a fixed X Keyboard Configuration Database version.

Ссылки

CVE-2012-0064

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201201-16.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.