NewStart CGSL MAIN 6.02：flatpak 漏洞 (NS-SA-2021-0132)
high Nessus 插件 ID 154592
语言：
简介
远程 NewStart CGSL 主机受到一个漏洞影响。描述
运行 MAIN 6.02 版本的远程 NewStart CGSL 主机上安装的 flatpak 程序包受到一个漏洞影响：- Flatpak 是一个用于在 Linux 上构建、分发和运行沙盒式桌面应用程序的系统。0.9.4 至 1.10.2 版本的 Flatpack 的文件转发功能中存在一个漏洞，攻击者可利用此漏洞访问通常不被应用程序权限允许的文件。通过在 Flatpak 应用程序的 .desktop 文件的 Exec 字段中放置特殊标记“@@”和/或“@@u”，恶意应用程序发布者可欺骗 flatpak，使其表现为用户选择使用自己的 Flatpak 应用程序来打开目标文件，从而自动使该文件可用于 Flatpak 应用程序。此问题已在 1.10.2 版本中修复。最小限度的解决方案是第一次提交“不允许在桌面文件中使用 @@ 和 @@U”。建议使用后续提交“dir：保留完整的 @@ 前缀”和“dir：拒绝导出可疑地使用了 @@ 标记的 .desktop 文件”，但并非严格要求。作为变通方案，避免安装来自不受信任来源的 Flatpak 应用程序，或检查“exports/share/applications/*.desktop”中导出的“.desktop”文件（通常是“~/.local/share/flatpak/exports/share/applications/*.desktop”和“/var/lib/flatpak/exports/share/applications/*.desktop”），以确保字面值文件名前没有“@@”或“@@u”。(CVE-2021-21381)
请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。
解决方案
升级易受攻击的 CGSL flatpak 程序包。请注意，更新后的程序包尚未发布。请联系 ZTE 获取更多信息。另见
插件详情
严重性: High
ID: 154592
文件名: newstart_cgsl_NS-SA-2021-0132_flatpak.nasl
版本: 1.2
类型: local
发布时间: 2021/10/28
最近更新时间: 2021/10/28
风险信息
VPR
风险因素: Medium
分数: 6.3
CVSS v2
风险因素: Medium
基本分数: 5.8
时间分数: 4.3
矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
时间矢量: CVSS2#E:U/RL:OF/RC:C
CVSS 分数来源: CVE-2021-21381
CVSS v3
风险因素: High
基本分数: 8.2
时间分数: 7.1
矢量: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:zte:cgsl_main:flatpak, p-cpe:/a:zte:cgsl_main:flatpak-debuginfo, p-cpe:/a:zte:cgsl_main:flatpak-debugsource, p-cpe:/a:zte:cgsl_main:flatpak-devel, p-cpe:/a:zte:cgsl_main:flatpak-libs, p-cpe:/a:zte:cgsl_main:flatpak-libs-debuginfo, p-cpe:/a:zte:cgsl_main:flatpak-selinux, p-cpe:/a:zte:cgsl_main:flatpak-session-helper, p-cpe:/a:zte:cgsl_main:flatpak-session-helper-debuginfo, p-cpe:/a:zte:cgsl_main:flatpak-tests, p-cpe:/a:zte:cgsl_main:flatpak-tests-debuginfo, cpe:/o:zte:cgsl_main:6
必需的 KB 项: Host/local_checks_enabled, Host/ZTE-CGSL/release, Host/ZTE-CGSL/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2021/9/24
漏洞发布日期: 2021/3/10
参考资料信息
CVE: CVE-2021-21381