首页保安Ubuntu Gnome桌面中的漏洞可能提供访问权限...

Ubuntu Gnome桌面中的漏洞可能提供root访问

GNOME Display Manager(gdm)中的漏洞可能允许典型用户创建具有提升权限的帐户,从而为本地攻击者提供了执行root特权代码的路径。

尽管某些条件是必需的,但该错误易于使用。 该过程涉及在终端中执行一些简单的命令,以及修改不需要增加权限的常规系统设置。

地精
Ubuntu Gnome桌面包含漏洞!

新增管理员

利用gdm3中的错误利用了AccountsService组件的崩溃,该组件监视系统上可用的用户。

除了处理“图形显示管理器”外,gdm3还负责在诸如以下的操作系统上显示“用户登录界面” Unix的.

GitHub安全研究员Kevin Backhouse发现了一种简单的方法,可以欺骗已安装的Ubuntu系统执行新帐户的设置例程 系统。 此方案需要一个帐户 管理员 用于设置机器和安装应用程序。

研究人员发现,当AccountsService组件的“ accounts-daemon”未运行时,“ gdm3”启用了此序列。 典型的用户应该无法停止它。

但是,Backhouse发现AccountsService中的两个漏洞导致组件挂起(CVE-2020-16127)和拒绝用户帐户特权(CVE-2020-16126),从而允许使用标准 用户 通过向其发送延迟的分段错误信号(kill -SIGSEGV)来停止“守护程序”。

延迟是必要的,以便有时间退出当前时间段 连接.

这两个 漏洞 影响Ubuntu 20.10,Ubuntu 20.04,Ubuntu 18.04和Ubuntu 16.04。

对于CVE-2020-16127,研究人员解释说这是由 代码 已添加到由freedesktop维护的不存在的Ubuntu AccountService上游版本中。

可以通过对系统设置进行修改而无需增加权限来激活。

如果不运行AccountsService,则gdm3无法指示计算机上的帐户,并且提供了使用root特权创建新帐户的选项,例如 安装 首次。

此错误现在称为CVE-2020-16125,并且在7,2分中被评为10,因此被归类为严重漏洞。 影响Ubuntu 20.10,Ubuntu 20.04和Ubuntu 18.04。

Backhouse制作了一个视频,展示了如何轻松 利用 Ubuntu 3中gdm20.04的漏洞:

Backhouse周一针对这三个漏洞分别发布了报告,其中提供了技术细节。 他于17月XNUMX日向Ubuntu和GNOME维护人员报告了这些错误,并在最新代码中提供了修复程序。

实时新闻