阿里云漏洞库

低危符号链接跟随漏洞

CVE编号

CVE-2019-3693

利用情况

暂无

补丁情况

官方补丁

披露时间

2020-01-24

漏洞描述

SUSE Linux Enterprise Server 11, SUSE Linux Enterprise Server 12; openSUSE Leap 15.1符号链接跟随漏洞允许本地攻击者将其特权从用户wwwrun升级为root。另外，可以将任意文件更改为mailman组。此问题影响：2.1.15-9.6.15.1之前的SUSE Linux Enterprise Server 11 mailman版本。 2.1.17-3.11.1之前的SUSE Linux Enterprise Server 12 mailman版本。 openSUSE Leap 15.1 mailman版本2.1.29-lp151.2.14和以前的版本。

解决建议

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://www.gnu.org/software/mailman/

参考链接
http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00059.html
http://lists.opensuse.org/opensuse-security-announce/2020-02/msg00000.html
https://bugzilla.suse.com/show_bug.cgi?id=1154328

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	suse	mailman	*		Up to (excluding) 2.1.15-9.6.15.1
	运行在以下环境
	应用	suse	mailman	*		Up to (excluding) 2.1.17-3.11.1
	运行在以下环境
	应用	suse	mailman	*		Up to (including) 2.1.29-lp151.2.14
	运行在以下环境
	系统	opensuse_Leap_15.1	mailman	*		Up to (excluding) 2.1.29-lp151.3.3.1
	运行在以下环境
	系统	suse_12_SP4	mailman	*		Up to (excluding) 2.1.17-3.11.1
	运行在以下环境
	系统	suse_12_SP5	mailman	*		Up to (excluding) 2.1.17-3.11.1

攻击路径

本地
攻击复杂度

复杂
权限要求

普通权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

无影响
服务器危害

无影响
全网数量

100

CWE-ID	漏洞类型
CWE-59	在文件访问前对链接解析不恰当（链接跟随）

低危 符号链接跟随漏洞

漏洞描述

解决建议

参考链接

受影响软件情况

低危符号链接跟随漏洞