David Edmundson 报告：

用于设置日期和时间的 KDE 工作区配置模块存在一个帮助程序，此程序以根权限运行以执行操作。这受到 polkit 保护。

此帮助程序将 ntp 实用工具的名称作为参数运行。
这允许黑客在更新时间的伪装下以根权限运行任意命令。

应用程序可通过误导信息或不进行交互来从 admin 用户获取根权限。

在某些系统上，用户将收到更改时间的提示。
但是，如果系统已安装 policykit-desktop-privileges，则 admin 用户将在没有任何提示的情况下调用日期时间帮助程序。

检测

FreeBSD：kde-workspace -- 权限升级 (dafa13a8-6e9b-11e4-8ef7-5453ed2e2b49)

high Nessus 插件 ID 79301

未找到变更日志