gnome-exe-thumbnailer注入漏洞

CVE编号

CVE-2017-11421

利用情况

暂无

补丁情况

官方补丁

披露时间

2017-07-19

漏洞描述

0.9.5之前的gnome-exe-thumbnailer在为MSI files生成缩略图时容易出现vbscript Injection，这也就是 'Bad Taste' 问题。如果受害者使用gnome文件文件管理器并导航到包含.msi文件的目录（文件名中包含vbscript代码），则会发生本地攻击。 

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/gnome-exe-thumbnailer/gnome-exe-thumbnailer/commit/1d8e3102dd8fd23431ae6127d14a236da6b4a4a5

参考链接
http://news.dieweltistgarnichtso.net/posts/gnome-thumbnailer-msi-fail.html
http://www.securityfocus.com/bid/99922
https://bugs.debian.org/868705
https://github.com/gnome-exe-thumbnailer/gnome-exe-thumbnailer/commit/1d8e310...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	gnome-exe-thumbnailer_project	gnome-exe-thumbnailer	*		Up to (including) 0.9.4
	运行在以下环境
	系统	debian_9	gnome-exe-thumbnailer	*		Up to (excluding) 0.9.4-2+deb9u1
	运行在以下环境
	系统	ubuntu_16.04	gnome-exe-thumbnailer	*		Up to (excluding) 0.9.3-2ubuntu0.16.04.1

阿里云评分 2.3

• 攻击路径 本地
• 攻击复杂度 困难
• 权限要求 普通权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 -

CWE-ID 漏洞类型 CWE-94 对生成代码的控制不恰当（代码注入）