CVE编号
CVE-2018-14036利用情况
暂无补丁情况
官方补丁披露时间
2018-07-14漏洞描述
AccountsService是英国科能（Canonical）公司和Ubuntu基金会共同开发的一个用于访问用户帐户和资料列表的D-Bus服务包。AccountsService 0.6.50之前版本中存在路径遍历漏洞，该漏洞源于在user.c文件的‘user_change_icon_file_authorized_cb()’函数中未能充分的验证路径。目前没有详细的漏洞细节提供。
解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://bugs.freedesktop.org/show_bug.cgi?id=107085
参考链接 |
|
|---|---|
| http://www.openwall.com/lists/oss-security/2018/07/02/2 | |
| http://www.securityfocus.com/bid/104757 | |
| https://bugs.freedesktop.org/show_bug.cgi?id=107085 | |
| https://bugzilla.suse.com/show_bug.cgi?id=1099699 | |
| https://cgit.freedesktop.org/accountsservice/commit/?id=f9abd359f71a5bce421b9... |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | freedesktop | accountsservice | * |
Up to (excluding) 0.6.50 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | centos_7 | gvfs | * |
Up to (excluding) 1.36.2-5.el7_9 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_9 | accountsservice | * |
Up to (excluding) 0.6.43-1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_15.0 | accountsservice | * |
Up to (excluding) 0.6.45-lp150.3.3.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12_SP4 | accountsservice | * |
Up to (excluding) 0.6.42-16.8.3 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12_SP5 | accountsservice | * |
Up to (excluding) 0.6.42-16.8.3 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_14.04 | gvfs | * |
Up to (excluding) 0.6.35-0ubuntu7.3+esm2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_16.04 | gvfs | * |
Up to (excluding) 0.6.40-2ubuntu11.6 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_18.04 | gvfs | * |
Up to (excluding) 0.6.45-1ubuntu1.3 |
|||||
- 攻击路径 远程
- 攻击复杂度 复杂
- 权限要求 普通权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
还没有评论，来说两句吧...