パスワードを忘れた? アカウント作成
17420733 story
バグ

GNOMEでは1クリックでのリモートコード実行につながるlibcueの脆弱性が修正される 9

ストーリー by nagazou
修正 部門より
headless 曰く、

CD のトラック情報を格納した CUE シートを処理する libcue の 2.2.1 までのバージョンで配列範囲外へのアクセスに対する脆弱性 (CVE-2023-43641) が見つかり、バージョン 2.3.0 で修正された (The GitHub Blog の記事Ars Technica の記事)。

この脆弱性は CUE シート (.cue) の INDEX 文の処理に関するバグによるもので、攻撃者は細工した INDEX 文を含めることでコード実行が可能になる。これにより、GNOME では 1 クリックでのリモートコード実行につながるという。

GNOME ユーザーがウェブサイトのダウンロードリンクをクリックするとファイルが「~/Downloads」に保存され、ファイルのインデックス生成のため tracker-miners によるスキャンが自動的に行われる。ダウンロードされたファイルが CUE シートの場合は解析に libcue が用いられるため、INDEX 文が細工されていればリモートからコードを実行される結果となる。

そのため特に GNOME ユーザーに対し、なるべく早い更新が呼びかけられている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • libcueに依存してるのは、GNOMEっつーかTrackerの方なのね
    Trackerにしろ、Strigiにしろ、NEPOMUKにしろ、Spotlightにしろ、Windows Indexing Serviceにしろ
    その手のサービスは全部オフにしてるし、なんならTrackerに至っては即効アンインストールしてたわ

    「GNOMEでは」とかって紛らわしい書き方しやがって
    デスクトップ検索エンジンの脆弱性じゃねーか

    • by Anonymous Coward

      GNOMEのライブラリの一つに脆弱性があることは分かっても、それを使ってるアプリや、それに依存する設定を、サードパーティを含めて全部列挙するのは不可能だからしょうがないですね。
      本トピックにあるように、具体的な危険性をひとつあげるくらいが精一杯でしょう。

    • by Anonymous Coward

      recollに流れ弾を当てるのはやめて。

  • by Anonymous Coward on 2023年10月17日 15時16分 (#4547307)

    MACでガチガチに固めてれば問題なかったんだろうけど、メジャーなディストロはどれくらいMAC設定されてるんだろう?

    • by Anonymous Coward

      なんか変な勘違いコメントにも見えるけど君の言うMACって何の略な奴?

  • by Anonymous Coward on 2023年10月17日 15時52分 (#4547335)

    $ dpkg -l | grep -ic libcue
    0

    とりあえずは安心のLXDEユーザーでした。

    • by Anonymous Coward

      $ rpm -q libcue
      libcue-2.2.1-13.fc38.x86_64
      で、脆弱性ありなのかよ 2,3日前にアップデートがあったのに、と思ったが、
      $ rpm -q --changelog libcue | head -2
      * 火 10月 10 2023 Adam Williamson - 2.2.1-13
      - Fix CVE-2023-43641 (Kevin Backhouse)
      と、fix されていた。

typodupeerror

日本発のオープンソースソフトウェアは42件 -- ある官僚

読み込み中...