GLSA-201406-27：polkit、Spice-Gtk、systemd、HPLIP、libvirt：權限提升

high Nessus Plugin ID 76271

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201406-27 中所述的弱點影響 (polkit、Spice-Gtk、systemd、HPLIP、libvirt：權限提升)

polkit 有一個爭用情形，其可能允許處理程序在完成驗證之前，透過 suid 或 pkexec 變更其 UID/EUID。
影響：

本機攻擊者可透過 polkit 啟用的應用程式啟動 suid 或 pkexec 處理程序，其可導致權限提升或繞過 polkit 限制。
因應措施：

目前尚無已知的因應措施。

解決方案

所有 polkit 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=sys-auth/polkit-0.112' 所有 HPLIP 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=net-print/hplip-3.14.1' 所有 Spice-Gtk 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=net-misc/spice-gtk-0.21' 所有 systemd 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=sys-apps/systemd-204-r1' 所有 libvirt 使用者皆應升級至最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=app-emulation/libvirt-1.1.2-r3'

另請參閱

https://security.gentoo.org/glsa/201406-27

Plugin 詳細資訊

嚴重性: High

ID: 76271

檔案名稱: gentoo_GLSA-201406-27.nasl

版本: 1.7

類型: local

系列: Gentoo Local Security Checks

已發布: 2014/6/27

已更新: 2021/1/6

支援的感應器: Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.3

CVSS v2

風險因素: High

基本分數: 7.2

時間分數: 5.3

媒介: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C

弱點資訊

CPE: p-cpe:/a:gentoo:linux:hplip, p-cpe:/a:gentoo:linux:libvirt, p-cpe:/a:gentoo:linux:polkit, p-cpe:/a:gentoo:linux:spice-gtk, p-cpe:/a:gentoo:linux:systemd, cpe:/o:gentoo:linux

必要的 KB 項目: Host/local_checks_enabled, Host/Gentoo/release, Host/Gentoo/qpkg-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2014/6/26

弱點發布日期: 2013/9/23

參考資訊

CVE: CVE-2013-4288, CVE-2013-4311, CVE-2013-4324, CVE-2013-4325, CVE-2013-4327

BID: 62499, 62503, 62508, 62511, 62538

GLSA: 201406-27