gentoo portage 权限预留不恰当

CVE编号

CVE-2019-20384

利用情况

暂无

补丁情况

N/A

披露时间

2020-01-21

漏洞描述

Gentoo是Gentoo基金会的一套开源的Linux系统。Gentoo Portage是其中的一个软件包管理器。
Gentoo Portage 2.3.84及之前版本中存在安全漏洞，该漏洞源于在对emake调用和fowners对调用之间，/usr/lib64/nagios/plugins目录可以被执行写入操作，本地攻击者可利用该漏洞向该目录中注入恶意插件。

解决建议

厂商尚未提供漏洞修复方案，请关注厂商主页更新：
https://www.gentoo.org/

参考链接
http://www.openwall.com/lists/oss-security/2020/01/21/1
https://bugs.gentoo.org/692492

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	gentoo	portage	*		Up to (including) 2.3.84

CVSS3评分 5.5

• 攻击路径 本地
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 无
• 完整性 高

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CWE-ID 漏洞类型 CWE-281 权限预留不恰当 CWE-362 使用共享资源的并发执行不恰当同步问题（竞争条件）