В Ubuntu устранили баги, позволяющие повысить привилегии до root

В Ubuntu устранили баги, позволяющие повысить привилегии до root

В Ubuntu устранили баги, позволяющие повысить привилегии до root

Разработчики десктопной Ubuntu выпустили обновления с новым пакетом gdm3, устраняющим опасную уязвимость в оконном менеджере GNOME. В связке с одним из двух багов службы AccountsService, тоже пропатченными, она позволяет выполнить любой код в системе с правами root. Эксплуатация новых уязвимостей возможна лишь при наличии физического доступа к устройству и действующего аккаунта.

Программа GNOME реализует функции управления окнами на экране компьютера и в числе прочего отвечает за вывод экрана входа в систему. Согласно бюллетеню, причиной появления уязвимости CVE-2020-16125 в GDM является неправильный запуск программы начальной настройки (gnome-initial-setup) в том случае, когда демон службы AccountsService недоступен через DBus.

Оконный менеджер может инициировать старт начальной настройки, если не обнаружит в системе ни одной учетной записи. Данные о наличии таковых он запрашивает, обращаясь к accounts-daemon. Если этот процесс не отвечает, GDM сочтет, что учетные записи отсутствуют, и запустит утилиту gnome-initial-setup, через которую можно зарегистрировать новый аккаунт с привилегиями суперпользователя.

Уязвимость устранена в GNOME 3.28.3, 3.36.2 и 3.38.2. Соответствующие обновления уже доступны для Ubuntu версий 20.10, 20.04 и 18.04.

Как оказалось, проблемой CVE-2020-16125 можно воспользоваться, принудительно завершив процесс accounts-daemon. В этом демоне, работающем с правами root, обнаружены два бага, позволяющие это сделать без особого труда.

 

Уязвимость CVE-2020-16126 возникла из-за неправильного сброса привилегий (атрибута ruid) при обработке некоторых вызовов DBus; ошибка CVE-2020-16127 проявляется при обработке пользовательских файлов .pam_environment. Эксплуатация в обоих случаях позволяет вызвать сбой или зависание accounts-daemon, приводящие к отказу в обслуживании (DoS).

Названные проблемы затрагивают Ubuntu 20.10, 20.04, 18.04, 16.04 и 14.04 (наличие CVE-2020-16127 подтверждено только в Ubuntu 20.04 LTS и Ubuntu 20.10) и уже устранены.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В мессенджерах в 10 раз выросло число фейковых аккаунтов известных людей

В России резко увеличилось количество мошеннических схем с использованием поддельных страниц известных людей. Как сообщил заместитель Председателя Правления Сбербанка Станислав Кузнецов на форуме «Диалог о фейках 3.0», с начала октября зафиксирован десятикратный рост попыток обмана через мессенджеры.

Злоумышленники создают фейковые аккаунты политиков, бизнесменов, топ-менеджеров и других публичных персон, используя их фото и настоящие имена.

Самая распространённая схема — «фейк босс», когда мошенники рассылают сообщения якобы от имени руководителя. Такие письма могут получать как знакомые и коллеги жертвы, так и совершенно посторонние люди, чья профессиональная сфера совпадает с областью деятельности поддельного «отправителя».

По словам Кузнецова, мошенники всё чаще используют нейросети и дипфейки, создавая реалистичные видео и аудиосообщения. Это делает обман особенно убедительным и усложняет его распознавание.

«Если вы получили сообщение якобы от известного лица, с которым никогда не общались, и речь идёт о деньгах или личных данных — почти наверняка это мошенники», — отметил он.

Эксперт советует внимательно проверять дату создания аккаунта и время последнего обновления имени пользователя. Эти признаки помогают вовремя выявить подделку.

Кузнецов также призвал сообщать о подозрительных профилях в службы поддержки мессенджеров, чтобы предотвратить дальнейшую активность преступников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru