受影响系统:
Dag Wieërs dstat 0.6.9
不受影响系统:
Dag Wieërs dstat 0.7
描述:
Dstat是vmstat、iostat和netstat工具的多功能替代品,可用于性能调节测试、基准和故障排除等方面。
dstat在sys.path中包含有当前工作目录和profile子目录。如果本地用户在攻击者可写的目录(如/tmp)中运行了dstat且攻击者在该目录中放置了某些Python模块(如getopt.py),就可以导致以运行dstat用户的权限执行任意代码。
<*来源:Robert Buchholz (rbu@gentoo.org)
*>
建议:
厂商补丁:
RedHat
——
RedHat已经为此发布了一个安全公告(RHSA-2009:1619-01)以及相应补丁:
RHSA-2009:1619-01:Moderate: dstat security update
链接:https://www.redhat.com/support/errata/RHSA-2009-1619.html
Gentoo
——
Gentoo已经为此发布了一个安全公告(GLSA-200911-04)以及相应补丁:
GLSA-200911-04:dstat: Untrusted search path
链接:http://security.gentoo.org/glsa/glsa-200911-04.xml
所有dstat用户都应升级到最新版本:
# emerge –sync
# emerge –ask –oneshot –verbose ">=sys-apps/dstat-0.6.9-r1"
Dag Wieërs
—————
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
0 条评论。