Podatność CVE-2012-3524

Podatność CVE-2012-3524

Publikacja: 2012-09-18

Opis:

libdbus 1.5.x and earlier, when used in setuid or other privileged programs in X.org and possibly other products, allows local users to gain privileges and execute arbitrary code via the DBUS_SYSTEM_BUS_ADDRESS environment variable. NOTE: libdbus maintainers state that this is a vulnerability in the applications that do not cleanse environment variables, not in libdbus itself: "we do not support use of libdbus in setuid binaries that do not sanitize their environment before their first call into libdbus."

W naszej bazie, znaleźliśmy następujące noty dla tego CVE:

	Tytuł	Autor	Data
High	libdbus DBUS_SYSTEM_BUS_ADDRESS trivial non-dbus root exploit	Sebastian Krahme...	21.09.2012

Typ:

CWE-264

(Permissions, Privileges, and Access Controls)

CVSS2 => (AV:L/AC:M/Au:N/C:C/I:C/A:C)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
6.9/10	10/10	3.4/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Lokalny	Średnia	Nie wymagana
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Pełny	Pełny	Pełny

Affected software
Freedesktop -> Libdbus

Referencje:

https://bugs.freedesktop.org/show_bug.cgi?id=52202

https://bugzilla.redhat.com/show_bug.cgi?id=847402

https://bugzilla.novell.com/show_bug.cgi?id=697105

http://www.ubuntu.com/usn/USN-1576-2

http://www.ubuntu.com/usn/USN-1576-1

http://www.securityfocus.com/bid/55517

http://www.openwall.com/lists/oss-security/2012/09/17/2

http://www.openwall.com/lists/oss-security/2012/09/14/2

http://www.openwall.com/lists/oss-security/2012/09/12/6

http://www.openwall.com/lists/oss-security/2012/07/26/1

http://www.openwall.com/lists/oss-security/2012/07/10/4

http://www.mandriva.com/security/advisories?name=MDVSA-2013:083

http://www.mandriva.com/security/advisories?name=MDVSA-2013:070

http://www.exploit-db.com/exploits/21323

http://stealth.openwall.net/null/dzug.c

http://secunia.com/advisories/50710

http://secunia.com/advisories/50544

http://secunia.com/advisories/50537

http://rhn.redhat.com/errata/RHSA-2012-1261.html

http://lists.opensuse.org/opensuse-security-announce/2012-10/msg00000.html

http://lists.opensuse.org/opensuse-security-announce/2012-09/msg00015.html

http://lists.opensuse.org/opensuse-security-announce/2012-09/msg00009.html

Podatność CVE-2012-3524

W naszej bazie, znaleźliśmy następujące noty dla tego CVE:

High

libdbus DBUS_SYSTEM_BUS_ADDRESS trivial non-dbus root exploit

CWE-264

CVSS2 => (AV:L/AC:M/Au:N/C:C/I:C/A:C)

6.9/10

10/10

3.4/10

Lokalny

Średnia

Nie wymagana

Pełny

Pełny

Pełny

Affected software

Referencje: