GLSA 202210-26: Shadow: TOCTOU Race

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	Shadow: TOCTOU Race
Дата:	31.10.2022
Ошибки:	#830486
ID:	202210-26

Сводка

A TOCTOU race has been discovered in Shadow, which could result in the unauthorized modification of files.

Назначение

Shadow contains utilities to deal with user accounts

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
sys-apps/shadow	< 4.12.2	>= 4.12.2	All supported architectures

Описание

A TOCTOU race condition was discovered in shadow. A local attacker with write privileges in a directory removed or copied by usermod/userdel could potentially exploit this flaw when the administrator invokes usermod/userdel.

Воздействие

An unauthorized user could potentially modify files which they do not have write permissions for.

Обход

There is no known workaround at this time.

Решение

All Shadow users should upgrade to the latest version:

          # emerge --sync
          # emerge --ask --oneshot --verbose ">=sys-apps/shadow-4.12.2"

Ссылки

CVE-2013-4235

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-202210-26.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.