Вторник, 23 февраля, 18:45
дома безопасность Уязвимость в рабочем столе Ubuntu Gnome может предложить доступ ...

Уязвимость в рабочем столе Ubuntu Gnome может предлагать root-доступ

Уязвимость в GNOME Display Manager (gdm) может позволить обычному пользователю создавать учетные записи с повышенными разрешениями, предоставляя локальному злоумышленнику путь для выполнения кода с привилегиями root.

Хотя некоторые условия необходимы, ошибку легко использовать. Процесс включает в себя выполнение нескольких простых команд в терминале и изменение общих настроек системы, которые не требуют повышенных разрешений.

Гном
Рабочий стол Ubuntu Gnome содержит уязвимости!

Добавить нового администратора

Использование ошибки в gdm3 приводит к аварийному завершению работы компонента AccountsService, который отслеживает пользователей, доступных в системе.

Помимо обработки «графических менеджеров дисплея», gdm3 также отвечает за отображение «интерфейса входа пользователя» в операционных системах, таких как Юникс.

Исследователь безопасности GitHub Кевин Бэкхаус обнаружил простой способ обманом заставить уже установленную систему Ubuntu выполнить процедуру настройки учетной записи для нового система. Для этого сценария требуется учетная запись διαχειριστή для настройки машины и установки приложений.

Исследователь обнаружил, что «gdm3» включал эту последовательность, когда «account-daemon» компонента AccountsService не работал. Обычный пользователь не сможет остановить это.

Однако Backhouse обнаружил две уязвимости в AccountsService, которые вызывали приостановку работы компонентов (CVE-2020-16127) и отказ в привилегиях учетной записи пользователя (CVE-2020-16126), что позволяло стандартное пользователь остановить «демона», послав сигнал отложенной ошибки сегментации (kill -SIGSEGV).

Задержка необходима для того, чтобы дать время для выхода из текущего периода. соединение.

Эти двое уязвимости влияют на Ubuntu 20.10, Ubuntu 20.04, Ubuntu 18.04 и Ubuntu 16.04.

Для CVE-2020-16127 исследователь объясняет, что это было вызвано код добавлен в несуществующую исходную версию Ubuntu AccountService, поддерживаемую freedesktop.

Активация была возможна путем внесения изменений в настройки системы, не требующих повышенных разрешений.

Без запуска AccountsService gdm3 не показывает учетные записи на машине и предоставляет возможность создать новую с привилегиями root, как в случае с установка в первый раз.

Эта ошибка теперь обозначается как CVE-2020-16125 и имеет рейтинг 7,2 из 10, поэтому классифицируется как серьезная уязвимость. Затрагивает Ubuntu 20.10, Ubuntu 20.04 и Ubuntu 18.04.

Backhouse снял видео, показывающее, как легко было извлекать выгоду уязвимость gdm3 в Ubuntu 20.04:

В понедельник Backhouse опубликовал отдельные отчеты об этих трех уязвимостях, в которых приводятся технические подробности. Он сообщил о них разработчикам Ubuntu и GNOME 17 октября, и исправления доступны в последней версии кода.

ОСТАВИТЬ ОТВЕТ

Пожалуйста, введите ваш комментарий!
Пожалуйста, введите ваше имя здесь

Teo Ehc
Teo Ehchttps://www.secnews.gr
Будь ограниченным тиражом.

ЖИВЫЕ НОВОСТИ

00: 02: 50

Как узнать, скрывается ли на вашем Mac вредоносная программа Silver Sparrow?

https://www.youtube.com/watch?v=xfld2_BlIOk Ένα νέο malware που στοχεύει τόσο M-series όσο και Intel Macs έχει επηρεάσει περίπου 30.000 συστήματα...

YouTube: как использовать хэштеги для поиска видео

Есть много разных способов найти что-нибудь на YouTube. Вы можете искать заголовки, ограничивать его по каналу или даже ...

Новый электромобиль Hyundai IONIQ 5 впечатляет

К 23 году Hyundai собирается выпустить 2025 электромобиля, и сегодня мы видим первый из них: Ioniq 5, ...

Spotify: новая серия HiFi предлагает потоковую передачу музыки без потерь

Spotify анонсировал новую серию HiFi. На виртуальном мероприятии «Stream On» в понедельник сервис объявил о новом уровне потока без ...

Новые модели MacBook Pro выйдут во второй половине 2021 года

Apple во второй половине 2021 года планирует выпустить две новые модели MacBook Pro, которые будут оснащены ...

GeckoLinux: обновление до GNOME 3.38, KDE 5.21

В прошлом году GeckoLinux на базе openSUSE прибыл с обновленным ISO через два года. Продолжая тактику ...

Призрачная частица, упавшая в Антарктиду, исходит из черной дыры

В новом исследовании, опубликованном в понедельник в журнале Nature Astronomy, ученые подробно описывают обнаружение субатомной частицы ...

Facebook: восстановят новостные страницы в Австралии

После обсуждений между Facebook и правительством Австралии платформа социальных сетей восстановит страницы новостей ...

В домене Apple iCloud обнаружена ошибка XSS

Уязвимость межсайтового скриптинга (XSS) в домене iCloud была исправлена ​​Apple. Искатель ошибок и тестер на проникновение Vishal ...

Поделиться: Насколько опасно размещать фото с детьми

По словам эксперта по безопасности Ритеша Котака, родители, как правило, размещают в социальных сетях около 1.500 фотографий своих детей, прежде чем ...