Aptdaemon D-Bus接口本地安全绕过漏洞

CVE编号

CVE-2011-0725

利用情况

暂无

补丁情况

N/A

披露时间

2011-02-24
漏洞描述
Aptdaemon允许普通用户执行包管理操作，如刷新缓存，更新系统，安装或删除软件。Ubuntu 10.10 aptdaemon没有密码提示就允许普通用户更新APT缓存。UpdateCachePartilally方法没有正确检查"sources_list"参数，攻击者可以利用漏洞使用它来查看系统上的任意文件。导致敏感信息泄漏。
解决建议
用户可联系供应商获得补丁程序：https://launchpad.net/aptdaemon
参考链接
http://www.securityfocus.com/bid/46490
http://www.securitytracker.com/id?1025107
http://www.ubuntu.com/usn/USN-1068-1
http://www.vupen.com/english/advisories/2011/0459
https://bugs.launchpad.net/bugs/722228
https://exchange.xforce.ibmcloud.com/vulnerabilities/65652
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 sebastian_heinlein aptdaemon 0.40 -
CVSS3评分
4.9
  • 攻击路径
    本地
  • 攻击复杂度
    低
  • 权限要求
    无
  • 影响范围
    N/A
  • 用户交互
    无
  • 可用性
    无
  • 保密性
    完全地
  • 完整性
    无
AV:L/AC:L/Au:N/C:C/I:N/A:N
CWE-ID 漏洞类型
CWE-22 对路径名的限制不恰当（路径遍历）
阿里云安全产品覆盖情况