NewStart CGSL MAIN 6.02:flatpak 漏洞 (NS-SA-2021-0132)

high Nessus 插件 ID 154592

语言:

简介

远程 NewStart CGSL 主机受到一个漏洞影响。

描述

运行 MAIN 6.02 版本的远程 NewStart CGSL 主机上安装的 flatpak 程序包受到一个漏洞影响:

- Flatpak 是一个用于在 Linux 上构建、分发和运行沙盒式桌面应用程序的系统。0.9.4 至 1.10.2 版本的 Flatpack 的文件转发功能中存在一个漏洞,攻击者可利用此漏洞访问通常不被应用程序权限允许的文件。通过在 Flatpak 应用程序的 .desktop 文件的 Exec 字段中放置特殊标记“@@”和/或“@@u”,恶意应用程序发布者可欺骗 flatpak,使其表现为用户选择使用自己的 Flatpak 应用程序来打开目标文件,从而自动使该文件可用于 Flatpak 应用程序。此问题已在 1.10.2 版本中修复。最小限度的解决方案是第一次提交“不允许在桌面文件中使用 @@ 和 @@U”。建议使用后续提交“dir:保留完整的 @@ 前缀”和“dir:拒绝导出可疑地使用了 @@ 标记的 .desktop 文件”,但并非严格要求。作为变通方案,避免安装来自不受信任来源的 Flatpak 应用程序,或检查“exports/share/applications/*.desktop”中导出的“.desktop”文件(通常是“~/.local/share/flatpak/exports/share/applications/*.desktop”和“/var/lib/flatpak/exports/share/applications/*.desktop”),以确保字面值文件名前没有“@@”或“@@u”。(CVE-2021-21381)

请注意,Nessus 尚未测试此问题,而是只依靠应用程序自我报告的版本号来判断。

解决方案

升级易受攻击的 CGSL flatpak 程序包。请注意,更新后的程序包尚未发布。请联系 ZTE 获取更多信息。

另见

http://security.gd-linux.com/notice/NS-SA-2021-0132

http://security.gd-linux.com/info/CVE-2021-21381

插件详情

严重性: High

ID: 154592

文件名: newstart_cgsl_NS-SA-2021-0132_flatpak.nasl

版本: 1.2

类型: local

发布时间: 2021/10/28

最近更新时间: 2021/10/28

风险信息

VPR

风险因素: High

分数: 7.1

CVSS v2

风险因素: Medium

基本分数: 5.8

时间分数: 4.3

矢量: AV:N/AC:M/Au:N/C:P/I:P/A:N

时间矢量: E:U/RL:OF/RC:C

CVSS 分数来源: CVE-2021-21381

CVSS v3

风险因素: High

基本分数: 8.2

时间分数: 7.1

矢量: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

时间矢量: E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:zte:cgsl_main:flatpak, p-cpe:/a:zte:cgsl_main:flatpak-debuginfo, p-cpe:/a:zte:cgsl_main:flatpak-debugsource, p-cpe:/a:zte:cgsl_main:flatpak-devel, p-cpe:/a:zte:cgsl_main:flatpak-libs, p-cpe:/a:zte:cgsl_main:flatpak-libs-debuginfo, p-cpe:/a:zte:cgsl_main:flatpak-selinux, p-cpe:/a:zte:cgsl_main:flatpak-session-helper, p-cpe:/a:zte:cgsl_main:flatpak-session-helper-debuginfo, p-cpe:/a:zte:cgsl_main:flatpak-tests, p-cpe:/a:zte:cgsl_main:flatpak-tests-debuginfo, cpe:/o:zte:cgsl_main:6

必需的 KB 项: Host/local_checks_enabled, Host/ZTE-CGSL/release, Host/ZTE-CGSL/rpm-list, Host/cpu

易利用性: No known exploits are available

补丁发布日期: 2021/9/24

漏洞发布日期: 2021/3/10

参考资料信息

CVE: CVE-2021-21381