检测

AlmaLinux 8GNOME (ALSA-2021:1586)

high Nessus 插件 ID 157668

语言：

简介

远程AlmaLinux 主机缺少一个或多个安全更新。

描述

远程 AlmaLinux 8 主机存在安装的程序包该程序包受到 ALSA-2021:1586 公告中提及的多个漏洞的影响。

 - 在 2.60.0 之前的 GNOME GLib（也称为 glib2.0）中，密钥文件设置后端使用 g_file_make_directory_with_parents (kfsb->dir, NULL, NULL) 创建目录，并使用 g_file_replace_contents (kfsb->file, contents, length, NULL, FALSE, G_FILE_CREATE_REPLACE_DESTINATION, NULL, NULL, NULL) 创建文件。
 因此，该后端无法正确限制目录（和文件）权限。相反，对于目录，后端会使用 0777 权限；对于文件，则使用默认的文件权限。此问题类似于 CVE-2019-12450。(CVE-2019-13012)

 - 已通过改进的内存处理解决类型混淆问题。此问题已在 Safari 14.0 中修复。
 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2020-9948)

 - 已通过改进的内存管理解决释放后使用问题。此问题已在 Safari 14.0 中修复。
 - 处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2020-9951)

 - 已通过改进的边界检查解决越界写入问题。此问题已在 Safari 14.0 中修复。处理恶意构建的 Web 内容可能会导致代码执行。(CVE-2020-9983)

 - Webkit WebKitGTK 2.30.0 的 WebSocket 功能中存在一个代码执行漏洞。特别构建的网页可触发释放后使用漏洞，而该漏洞可导致远程代码执行。攻击者可让用户访问网页来触发此漏洞。(CVE-2020-13543)

 - WebKitGTK 浏览器版本 2.30.1 x64 中存在可利用的释放后使用漏洞。特别构建的 HTML 网页可导致释放后使用情况，从而导致远程代码执行。受害者需要访问恶意网站以触发此漏洞。(CVE-2020-13584)

 - 如果 gdm3 无法通过 dbus 及时联系 accountservice 服务则 3.36.2 或 3.38.2 之前的 gdm3 版本将启动 gnome-initial-setup在 Ubuntu 上这可能与允许本地用户创建新的特权帐户的其他问题相关。
 (CVE-2020-16125)

 - 已通过改进的状态管理解决内存损坏问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。(CVE-2021-1817)

 - 已通过改进内存处理解决内存初始化问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能导致进程内存泄漏。(CVE-2021-1820)

 - 已通过改进的输入验证解决输入验证问题。此问题已在 Windows 版 iTunes 12.11.3、Windows 12.3 版 iCloud、macOS Big Sur 11.3、Safari 14.1、watchOS 7.4、tvOS 14.5、iOS 14.5 和 iPadOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致跨站脚本攻击。(CVE-2021-1825)

 - 已通过改进限制解决逻辑问题。此问题已在 macOS Big Sur 11.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5 中修复。处理恶意构建的 Web 内容可能会导致通用跨站脚本。(CVE-2021-1826)

 - 已通过改进的内存管理解决释放后使用问题。此问题已在 Safari 14.1、iOS 12.5.3、iOS 14.5 和 iPadOS 14.5、watchOS 7.4、tvOS 14.5、macOS Big Sur 11.3 中修复。处理恶意构建的 Web 内容可能会导致任意代码执行。Apple 从报告中获悉，此问题可能已经被主动利用。(CVE-2021-30661)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

更新受影响的程序包。

另见

https://errata.almalinux.org/8/ALSA-2021-1586.html

插件详情

严重性: High

ID: 157668

文件名: alma_linux_ALSA-2021-1586.nasl

版本: 1.5

类型: local

发布时间: 2022/2/9

最近更新时间: 2023/4/25

支持的传感器: Nessus Agent, Continuous Assessment, Nessus

风险信息

VPR

风险因素: High

分数: 7.4

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5.6

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2021-30661

CVSS v3

风险因素: High

基本分数: 8.8

时间分数: 8.2

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:F/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:alma:linux:geoclue2-devel, p-cpe:/a:alma:linux:gtk2-devel-docs, p-cpe:/a:alma:linux:gtkmm30-doc, p-cpe:/a:alma:linux:libvisual-devel, p-cpe:/a:alma:linux:gjs, p-cpe:/a:alma:linux:gvfs, p-cpe:/a:alma:linux:gtk2-immodule-xim, p-cpe:/a:alma:linux:gtk-doc, p-cpe:/a:alma:linux:gtkmm30, p-cpe:/a:alma:linux:gnome-terminal, p-cpe:/a:alma:linux:gtkmm24-docs, p-cpe:/a:alma:linux:atkmm, p-cpe:/a:alma:linux:gvfs-gphoto2, p-cpe:/a:alma:linux:dleyna-server, p-cpe:/a:alma:linux:glib2, p-cpe:/a:alma:linux:accountsservice-devel, p-cpe:/a:alma:linux:dleyna-core, p-cpe:/a:alma:linux:pangomm, p-cpe:/a:alma:linux:gvfs-devel, p-cpe:/a:alma:linux:gnome-photos, p-cpe:/a:alma:linux:gamin-devel, p-cpe:/a:alma:linux:gamin, p-cpe:/a:alma:linux:geoclue2-libs, p-cpe:/a:alma:linux:libsass-devel, cpe:/o:alma:linux:8, p-cpe:/a:alma:linux:glib2-tests, p-cpe:/a:alma:linux:glibmm24, p-cpe:/a:alma:linux:gvfs-smb, p-cpe:/a:alma:linux:gtk2, p-cpe:/a:alma:linux:gtkmm30-devel, p-cpe:/a:alma:linux:gvfs-client, p-cpe:/a:alma:linux:libdazzle-devel, p-cpe:/a:alma:linux:libepubgen-devel, p-cpe:/a:alma:linux:gtk2-devel, p-cpe:/a:alma:linux:vala, p-cpe:/a:alma:linux:chrome-gnome-shell, p-cpe:/a:alma:linux:gnome-terminal-nautilus, p-cpe:/a:alma:linux:gvfs-archive, p-cpe:/a:alma:linux:libsigc%2b%2b20-devel, p-cpe:/a:alma:linux:atkmm-devel, p-cpe:/a:alma:linux:gvfs-afc, p-cpe:/a:alma:linux:openexr-devel, p-cpe:/a:alma:linux:gvfs-fuse, p-cpe:/a:alma:linux:cairomm-doc, p-cpe:/a:alma:linux:libepubgen, p-cpe:/a:alma:linux:geoclue2, p-cpe:/a:alma:linux:gvfs-goa, p-cpe:/a:alma:linux:mutter-devel, p-cpe:/a:alma:linux:cairomm, p-cpe:/a:alma:linux:glib2-doc, p-cpe:/a:alma:linux:soundtouch, p-cpe:/a:alma:linux:glib2-devel, p-cpe:/a:alma:linux:geoclue2-demos, p-cpe:/a:alma:linux:openexr-libs, p-cpe:/a:alma:linux:pangomm-doc, p-cpe:/a:alma:linux:cairomm-devel, p-cpe:/a:alma:linux:enchant2-devel, p-cpe:/a:alma:linux:glibmm24-doc, p-cpe:/a:alma:linux:nautilus, p-cpe:/a:alma:linux:libsigc%2b%2b20-doc, p-cpe:/a:alma:linux:libsigc%2b%2b20, p-cpe:/a:alma:linux:gnome-photos-tests, p-cpe:/a:alma:linux:vala-devel, p-cpe:/a:alma:linux:gtk2-immodules, p-cpe:/a:alma:linux:gtkmm24-devel, p-cpe:/a:alma:linux:atkmm-doc, p-cpe:/a:alma:linux:woff2, p-cpe:/a:alma:linux:gjs-devel, p-cpe:/a:alma:linux:pangomm-devel, p-cpe:/a:alma:linux:gtkmm24, p-cpe:/a:alma:linux:gnome-boxes, p-cpe:/a:alma:linux:woff2-devel, p-cpe:/a:alma:linux:gvfs-mtp, p-cpe:/a:alma:linux:glib2-fam, p-cpe:/a:alma:linux:libvisual, p-cpe:/a:alma:linux:gvfs-afp, p-cpe:/a:alma:linux:glib2-static, p-cpe:/a:alma:linux:nautilus-extensions, p-cpe:/a:alma:linux:soundtouch-devel, p-cpe:/a:alma:linux:geocode-glib, p-cpe:/a:alma:linux:libsass, p-cpe:/a:alma:linux:nautilus-devel, p-cpe:/a:alma:linux:glibmm24-devel, p-cpe:/a:alma:linux:libdazzle, p-cpe:/a:alma:linux:enchant2, p-cpe:/a:alma:linux:geocode-glib-devel

必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list

可利用: true

易利用性: Exploits are available

补丁发布日期: 2021/5/18

漏洞发布日期: 2019/6/28

CISA 已知可遭利用的漏洞到期日期: 2021/11/17

参考资料信息

CVE: CVE-2019-13012, CVE-2020-13543, CVE-2020-13584, CVE-2020-16125, CVE-2020-9948, CVE-2020-9951, CVE-2020-9983, CVE-2021-1817, CVE-2021-1820, CVE-2021-1825, CVE-2021-1826, CVE-2021-30661

IAVA: 2021-A-0202-S