CVE-2009-3894 dstat 不安全的模块搜索路径

Gentoo 安全团队的 Robert Buchholz 报告了 dstat 中使用的 Python 模块搜索路径中的一个缺陷。如果本地攻击者可以诱骗本地用户从名称类似可导入模块的包含 Python 脚本的目录中运行 dstat，则其能够以运行 dstat 的用户的权限执行任意代码。
(CVE-2009-3894)

來自 Red Hat 安全性公告 2009:1619：

現已提供適用於 Red Hat Enterprise Linux 5 的更新版 dstat 套件，可修正一項安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

Dstat 是 vmstat、iostat 和 netstat 工具的多用途取代。Dstat 可用於效能微調測試、基準測試和疑難排解。

Gentoo 安全性團隊的 Robert Buchholz 報告指出 dstat 所用的 Python 模組搜尋路徑中有瑕疵。如果本機攻擊者可誘騙本機使用者執行包含 Python 指令碼之目錄中的 dstat，而指令碼名稱類似可匯入模組，他們就能以執行 dstat 之使用者的權限執行任意程式碼。
(CVE-2009-3894)

所有 dstat 使用者皆應升級至此更新版套件，其中包含可更正此問題的反向移植修補程式。

来自 Red Hat 安全公告 2009:1619：

更新后的 dstat 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有中等安全影响。

Dstat 是 vmstat、iostat 和 netstat 工具的通用替代品。Dstat 可用于性能调整测试、基准和故障排除。

Gentoo 安全团队的 Robert Buchholz 报告了 dstat 中使用的 Python 模块搜索路径中的一个缺陷。如果本地攻击者可以诱骗本地用户从名称类似可导入模块的包含 Python 脚本的目录中运行 dstat，则其能够以运行 dstat 的用户的权限执行任意代码。
(CVE-2009-3894)

所有 dstat 用户都应升级此更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

CVE-2009-3894 dstat 不安全的模組搜尋路徑

Gentoo 安全性團隊的 Robert Buchholz 報告指出 dstat 所用的 Python 模組搜尋路徑中有瑕疵。如果本機攻擊者可誘騙本機使用者執行包含 Python 指令碼之目錄中的 dstat，而指令碼名稱類似可匯入模組，他們就能以執行 dstat 之使用者的權限執行任意程式碼。
(CVE-2009-3894)

一つのセキュリティ問題を修正した更新済み dstat パッケージが Red Hat Enterprise Linux 5 で利用可能になりました。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

dstat は、vmstat、iostat、および netstat ツールに対する汎用性の高い置換となります。dstat は、パフォーマンス調整テスト、ベンチマーク、およびトラブルシューティングで使用できます。

Gentoo セキュリティチームの Robert Buchholz 氏は、dstat で使用する Python モジュール検索パスにおける欠陥を報告しました。ローカルの攻撃者がインポート可能モジュールのように命名された Python スクリプトを含むディレクトリーから実行中 dstat にローカルユーザーをだますことができれば、 dstat を実行するユーザーの権限で任意のコードを実行する可能性があります。
（CVE-2009-3894）

dstat の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、この問題を修正する必要があります。

Red Hat セキュリティアドバイザリ 2009:1619 から：

一つのセキュリティ問題を修正した更新済み dstat パッケージが Red Hat Enterprise Linux 5 で利用可能になりました。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

dstat は、vmstat、iostat、および netstat ツールに対する汎用性の高い置換となります。dstat は、パフォーマンス調整テスト、ベンチマーク、およびトラブルシューティングで使用できます。

Gentoo セキュリティチームの Robert Buchholz 氏は、dstat で使用する Python モジュール検索パスにおける欠陥を報告しました。ローカルの攻撃者がインポート可能モジュールのように命名された Python スクリプトを含むディレクトリーから実行中 dstat にローカルユーザーをだますことができれば、 dstat を実行するユーザーの権限で任意のコードを実行する可能性があります。
(CVE-2009-3894)

dstat の全ユーザーは、バックポートされたパッチが含まれるこの更新済みパッケージへアップグレードし、この問題を修正する必要があります。

CVE-2009-3894 dstat のセキュアでないモジュール検索パス

Gentoo セキュリティチームの Robert Buchholz 氏は、dstat で使用する Python モジュール検索パスにおける欠陥を報告しました。ローカルの攻撃者がインポート可能モジュールのように命名された Python スクリプトを含むディレクトリーから実行中 dstat にローカルユーザーをだますことができれば、 dstat を実行するユーザーの権限で任意のコードを実行する可能性があります。
（CVE-2009-3894）

The remote host is affected by the vulnerability described in GLSA-200911-04 (dstat: Untrusted search path)

    Robert Buchholz of the Gentoo Security Team reported that dstat     includes the current working directory and subdirectories in the Python     module search path (sys.path) before calling 'import'.
  Impact :

    A local attacker could entice a user to run 'dstat' from a directory     containing a specially crafted Python module, resulting in the     execution of arbitrary code with the privileges of the user running the     application.
  Workaround :

    Do not run 'dstat' from untrusted working directories.

An updated dstat package that fixes one security issue is now available for Red Hat Enterprise Linux 5.

This update has been rated as having moderate security impact by the Red Hat Security Response Team.

Dstat is a versatile replacement for the vmstat, iostat, and netstat tools. Dstat can be used for performance tuning tests, benchmarks, and troubleshooting.

Robert Buchholz of the Gentoo Security Team reported a flaw in the Python module search path used in dstat. If a local attacker could trick a local user into running dstat from a directory containing a Python script that is named like an importable module, they could execute arbitrary code with the privileges of the user running dstat.
(CVE-2009-3894)

All dstat users should upgrade to this updated package, which contains a backported patch to correct this issue.

This release fixes above mentioned security issue, adds several enhancements and fixes few other bugs. For complete information, please see changelog.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

From Red Hat Security Advisory 2009:1619 :

An updated dstat package that fixes one security issue is now available for Red Hat Enterprise Linux 5.

This update has been rated as having moderate security impact by the Red Hat Security Response Team.

Dstat is a versatile replacement for the vmstat, iostat, and netstat tools. Dstat can be used for performance tuning tests, benchmarks, and troubleshooting.

Robert Buchholz of the Gentoo Security Team reported a flaw in the Python module search path used in dstat. If a local attacker could trick a local user into running dstat from a directory containing a Python script that is named like an importable module, they could execute arbitrary code with the privileges of the user running dstat.
(CVE-2009-3894)

All dstat users should upgrade to this updated package, which contains a backported patch to correct this issue.

- Thu Dec 3 2009 Jan Zeleny <jzeleny at redhat.com> -     0.6.9-5

    - added patch fixing security issue CVE-2009-3894

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2009-3894 dstat insecure module search path

Robert Buchholz of the Gentoo Security Team reported a flaw in the Python module search path used in dstat. If a local attacker could trick a local user into running dstat from a directory containing a Python script that is named like an importable module, they could execute arbitrary code with the privileges of the user running dstat.
(CVE-2009-3894)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
60698	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 dstat	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
67964	Oracle Linux 5 : dstat (ELSA-2009-1619)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
67964	Oracle Linux 5：dstat (ELSA-2009-1619)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
60698	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 dstat	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
43808	CentOS 5：dstat（CESA-2009:1619）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
67964	Oracle Linux 5：dstat（ELSA-2009-1619）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
60698	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の dstat	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
42914	GLSA-200911-04 : dstat: Untrusted search path	Nessus	Gentoo Local Security Checks	2009/11/30	2021/1/6	medium
42945	RHEL 5 : dstat (RHSA-2009:1619)	Nessus	Red Hat Local Security Checks	2009/12/1	2021/1/14	medium
43011	Fedora 12 : dstat-0.7.0-1.fc12 (2009-12674)	Nessus	Fedora Local Security Checks	2009/12/7	2021/1/11	medium
43808	CentOS 5 : dstat (CESA-2009:1619)	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
67964	Oracle Linux 5 : dstat (ELSA-2009-1619)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
43010	Fedora 11 : dstat-0.6.9-5.fc11 (2009-12663)	Nessus	Fedora Local Security Checks	2009/12/7	2021/1/11	medium
60698	Scientific Linux Security Update : dstat on SL5.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium