CVE编号
CVE-2019-19191利用情况
暂无补丁情况
官方补丁披露时间
2019-11-22漏洞描述
Shibboleth服务提供商(SP)x在3.1.0之前提供了一个spec文件，该文件在安装后对服务用户(shibd帐户)控制的目录中的文件调用chown。这允许用户通过将符号链接指向像/etc/shadow这样的文件来逐步升级到根用户。解决建议
厂商已发布了漏洞修复程序，请及时关注更新：https://issues.shibboleth.net/jira/browse/SSPCPP-874
参考链接 |
|
|---|---|
| http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00017.html | |
| https://bugzilla.suse.com/show_bug.cgi?id=1157471 | |
| https://issues.shibboleth.net/jira/browse/SSPCPP-874 |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | shibboleth | service_provider | * |
From (including) 3.0.0 |
Up to (excluding) 3.1.0 |
||||
| 运行在以下环境 | |||||||||
| 系统 | debian_10 | shibboleth-sp | * |
Up to (excluding) 3.0.4+dfsg1-1+deb10u2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_11 | shibboleth-sp | * |
Up to (excluding) 3.2.2+dfsg1-1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_12 | shibboleth-sp | * |
Up to (excluding) 3.3.0+dfsg1-1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_sid | shibboleth-sp | * |
Up to (excluding) 3.3.0+dfsg1-1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_15.1 | shibboleth-sp | * |
Up to (excluding) 2.6.1-lp151.3.3.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12_SP4 | shibboleth-sp | * |
Up to (excluding) 2.5.5-6.6.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12_SP5 | shibboleth-sp | * |
Up to (excluding) 2.5.5-6.6.1 |
|||||
- 攻击路径 本地
- 攻击复杂度 复杂
- 权限要求 普通权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
还没有评论，来说两句吧...