GLSA 201406-27: polkit, Spice-Gtk, systemd, HPLIP, libvirt: Privilege escalation

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	polkit, Spice-Gtk, systemd, HPLIP, libvirt: Privilege escalation
Дата:	26.06.2014
Ошибки:	#484486, #484488, #485420, #485546, #485904
ID:	201406-27

Сводка

A race condition in polkit could allow a local attacker to gain escalated privileges.

Назначение

polkit is a toolkit for managing policies relating to unprivileged processes communicating with privileged processes.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-print/hplip	< 3.14.1	>= 3.14.1	All supported architectures
net-misc/spice-gtk	< 0.21	>= 0.21	All supported architectures
sys-apps/systemd	< 204-r1	>= 204-r1	All supported architectures
app-emulation/libvirt	< 1.1.2-r3	>= 1.1.2-r3	All supported architectures
sys-auth/polkit	< 0.112	>= 0.112	All supported architectures

Описание

polkit has a race condition which potentially allows a process to change its UID/EUID via suid or pkexec before authentication is completed.

Воздействие

A local attacker could start a suid or pkexec process through a polkit-enabled application, which could result in privilege escalation or bypass of polkit restrictions.

Обход

There is no known workaround at this time.

Решение

All polkit users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose ">=sys-auth/polkit-0.112"

All HPLIP users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=net-print/hplip-3.14.1"

All Spice-Gtk users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=net-misc/spice-gtk-0.21"

All systemd users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=sys-apps/systemd-204-r1"

All libvirt users should upgrade to the latest version:


      # emerge --sync
      # emerge --ask --oneshot --verbose ">=app-emulation/libvirt-1.1.2-r3"

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201406-27.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.