遠端主機受到 GLSA-202210-22 中所述的弱點影響 (RPM：多個弱點)

  - RPM 的簽章功能有一個缺陷。OpenPGP 子金鑰透過繫結簽章與主要金鑰相關聯。RPM 不會在匯入子金鑰前檢查其繫結簽章。如果攻擊者能夠新增或透過社交工程將惡意子金鑰新增至合法公開金鑰，RPM 可能會錯誤地信任惡意簽章。此缺陷對資料完整性的影響最大。若要利用此缺陷，攻擊者必須入侵 RPM 存放庫，或是說服系統管理員安裝未受信任的 RPM 或公開金鑰。強烈建議僅使用受信任來源的 RPM 和公開金鑰。(CVE-2021-3521)

  - 在 rpm 中發現爭用條件弱點。本機使用者可利用此缺陷繞過為回應 CVE-2017-7500 和 CVE-2017-7501 而引入的檢查，從而取得 Root 權限。此弱點對於資料的機密性和完整性以及系統可用性威脅最大。(CVE-2021-35937)

  - 在 rpm 中發現符號連結問題。當 rpm 在安裝檔案後設定所需的權限和憑證時，就會發生這種情況。本機使用者可利用此缺陷來交換包含指向重要安全性檔案之符號連結的原始檔案，並提升其在系統中的權限。此弱點對於資料的機密性和完整性以及系統可用性威脅最大。
    (CVE-2021-35938)

  - 據發現，對於 CVE-2017-7500 和 CVE-2017-7501 的修正不完整。只針對要建立之檔案的父目錄實作檢查。無權限的本機使用者若擁有另一個上階目錄，就可能利用此缺陷取得 Root 權限。此弱點對於資料的機密性和完整性以及系統可用性威脅最大。(CVE-2021-35939)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

GLSA-202210-22: RPM：多個弱點

medium Nessus Plugin ID 166726

版本 1.2