В Ubuntu устранили баги, позволяющие повысить привилегии до root

В Ubuntu устранили баги, позволяющие повысить привилегии до root

В Ubuntu устранили баги, позволяющие повысить привилегии до root

Разработчики десктопной Ubuntu выпустили обновления с новым пакетом gdm3, устраняющим опасную уязвимость в оконном менеджере GNOME. В связке с одним из двух багов службы AccountsService, тоже пропатченными, она позволяет выполнить любой код в системе с правами root. Эксплуатация новых уязвимостей возможна лишь при наличии физического доступа к устройству и действующего аккаунта.

Программа GNOME реализует функции управления окнами на экране компьютера и в числе прочего отвечает за вывод экрана входа в систему. Согласно бюллетеню, причиной появления уязвимости CVE-2020-16125 в GDM является неправильный запуск программы начальной настройки (gnome-initial-setup) в том случае, когда демон службы AccountsService недоступен через DBus.

Оконный менеджер может инициировать старт начальной настройки, если не обнаружит в системе ни одной учетной записи. Данные о наличии таковых он запрашивает, обращаясь к accounts-daemon. Если этот процесс не отвечает, GDM сочтет, что учетные записи отсутствуют, и запустит утилиту gnome-initial-setup, через которую можно зарегистрировать новый аккаунт с привилегиями суперпользователя.

Уязвимость устранена в GNOME 3.28.3, 3.36.2 и 3.38.2. Соответствующие обновления уже доступны для Ubuntu версий 20.10, 20.04 и 18.04.

Как оказалось, проблемой CVE-2020-16125 можно воспользоваться, принудительно завершив процесс accounts-daemon. В этом демоне, работающем с правами root, обнаружены два бага, позволяющие это сделать без особого труда.

 

Уязвимость CVE-2020-16126 возникла из-за неправильного сброса привилегий (атрибута ruid) при обработке некоторых вызовов DBus; ошибка CVE-2020-16127 проявляется при обработке пользовательских файлов .pam_environment. Эксплуатация в обоих случаях позволяет вызвать сбой или зависание accounts-daemon, приводящие к отказу в обслуживании (DoS).

Названные проблемы затрагивают Ubuntu 20.10, 20.04, 18.04, 16.04 и 14.04 (наличие CVE-2020-16127 подтверждено только в Ubuntu 20.04 LTS и Ubuntu 20.10) и уже устранены.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Kaspersky: Каждый второй компьютер в мире всё ещё работает на Windows 10

«Лаборатория Касперского» выяснила, что каждый второй компьютер в мире до сих пор работает на Windows 10. Среди частных пользователей её используют 51%, а в компаниях показатель ещё выше — почти 60%. Проблема в том, что поддержка «десятки» закончится уже в октябре 2025 года.

На Windows 11 перешли далеко не все: всего 36% частных и 26,5% корпоративных устройств.

А кое-кто продолжает сидеть даже на Windows 7, поддержку которой Microsoft прекратила ещё в 2020-м — это 10% у обычных пользователей и 7% у компаний.

Эксперты предупреждают: использование старых ОС в бизнесе — это серьёзный риск. Они чаще становятся целью атак и могут не дружить с современными программами и средствами защиты. В итоге это грозит сбоями в работе и потерями данных.

Многие тянут с обновлением, потому что не видят в новой системе «реальных плюсов» или боятся изменений в интерфейсе. Но, как отмечает эксперт «Лаборатории Касперского» Олег Горобец, старая ОС без обновлений — это как дом с прогнившим забором, который можно сломать одним ударом.

По его словам, для компаний поддержание актуальности ПО, начиная с операционной системы, должно быть приоритетом. Своевременные апдейты снижают риск взлома и связанных с ним проблем — от кражи данных до финансового и репутационного ущерба. Игнорировать обновления нельзя, даже если у вас стоит надёжное антивирусное решение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru