ZeroBox Vulnerability Database

漏洞起因
设计错误
危险等级
低

影响系统
Ubuntu Ubuntu Linux 8.04 LTS sparc
Ubuntu Ubuntu Linux 8.04 LTS powerpc
Ubuntu Ubuntu Linux 8.04 LTS lpia
Ubuntu Ubuntu Linux 8.04 LTS i386
Ubuntu Ubuntu Linux 8.04 LTS amd64
Ubuntu Ubuntu Linux 11.10 i386
Ubuntu Ubuntu Linux 11.10 amd64
Ubuntu Ubuntu Linux 11.04 powerpc
Ubuntu Ubuntu Linux 11.04 i386
Ubuntu Ubuntu Linux 11.04 ARM
Ubuntu Ubuntu Linux 11.04 amd64
Ubuntu Ubuntu Linux 10.10 powerpc
Ubuntu Ubuntu Linux 10.10 i386
Ubuntu Ubuntu Linux 10.10 ARM
Ubuntu Ubuntu Linux 10.10 amd64
Ubuntu Ubuntu Linux 10.04 sparc
Ubuntu Ubuntu Linux 10.04 powerpc
Ubuntu Ubuntu Linux 10.04 i386
Ubuntu Ubuntu Linux 10.04 ARM
Ubuntu Ubuntu Linux 10.04 amd64

不受影响系统

危害
远程攻击者利用漏洞替换升级文件。

攻击所需条件
攻击者必须对Ubuntu进行中间人攻击。

漏洞信息
Ubuntu是一款基于linux内核的发行版本。
David Black发现更新管理器(Update Manager)在校验GPG签名之前不正确提取下载的升级tarball，如果远程攻击者可执行中间人攻击，此缺陷可导致用于替换任意文件。

测试方法

厂商解决方案
用户可参考如下供应商提供的安全公告获得补丁信息：
http://www.ubuntu.com/usn/usn-1284-1

漏洞提供者
David Black