GLSA 201612-02: DavFS2: Local privilege escalation

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	DavFS2: Local privilege escalation
Дата:	02.12.2016
Ошибки:	#485232
ID:	201612-02

Сводка

A vulnerability in DavFS2 allows local users to gain root privileges.

Назначение

DavFS2 is a file system driver that allows you to mount a WebDAV server as a local disk drive.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-fs/davfs2	< 1.5.2	>= 1.5.2	All supported architectures

Описание

DavFS2 installs “/usr/sbin/mount.davfs” as setuid root. This utility uses “system()” to call “/sbin/modprobe”.

While the call to “modprobe” itself cannot be manipulated, a local authenticated user can set the “MODPROBE_OPTIONS” environment variable to pass a user controlled path, allowing the loading of an arbitrary kernel module.

Воздействие

A local user could gain root privileges.

Обход

The system administrator should ensure that all modules the “mount.davfs” utility tries to load are loaded upon system boot before any local user can call the utility.

An additional defense measure can be implemented by enabling the Linux kernel module signing feature. This assists in the prevention of arbitrary modules being loaded.

Решение

All DavFS2 users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose ">=net-fs/davfs2-1.5.2"

Ссылки

CVE-2013-4362

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201612-02.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.