Oracle Linux 7:flatpak(ELSA-2021-1002)

high Nessus プラグイン ID 148219
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモートのOracle Linuxホストにセキュリティ更新プログラムがありません。

説明

リモートのOracle Linux 7ホストに、ELSA-2021-1002アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- Flatpakは、Linuxでサンドボックス化されたデスクトップアプリケーションを構築、配布、実行するためのシステムです。Flatpakのバージョン0.9.4以降1.10.2まででは、ファイル転送機能に脆弱性があり、攻撃者はこの脆弱性を利用して、通常はアプリケーションの権限によって許可されないファイルへのアクセスを取得することが可能です。悪意のあるアプリの発行元は、Flatpakアプリの.desktopファイルのExecフィールドに特殊トークン「@@」または「@@u」を挿入することで、flatpakを騙し、ユーザーが各自のFlatpakアプリでターゲットファイルを開くことを選択している(ターゲットファイルが自動的にFlatpakアプリで利用可能になる)かのように振る舞うように仕向けます。これはバージョン1.10.2で修正されています。最小限の解決策は、最初のコミット「Disallow @@ and @@U usage in desktop files」です。フォローアップコミット「dir: Reserve the whole @@ prefix」および「dir: Refuse to export .desktop files with suspicious uses of @@ tokens」が推奨されますが、これは厳密には必須ではありません。回避策として、信頼できないソースからのFlatpakアプリをインストールしないようにするか、または「exports/share/applications/*.desktop」(通常は「~/.local/share/flatpak/exports/share/applications/*.desktop」および「/var/lib/flatpak/exports/share/applications/*.desktop」)でエクスポートされた「.desktop」ファイルの内容を確認し、リテラルファイル名が「@@」または「@@u」に従っていないことを確認してください。(CVE-2021-21381)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

影響を受けるパッケージを更新してください。

関連情報

https://linux.oracle.com/errata/ELSA-2021-1002.html

プラグインの詳細

深刻度: High

ID: 148219

ファイル名: oraclelinux_ELSA-2021-1002.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

公開日: 2021/3/30

更新日: 2021/3/30

依存関係: ssh_get_info.nasl

リスク情報

CVSS スコアのソース: CVE-2021-21381

VPR

リスクファクター: High

スコア: 7.1

CVSS v2

リスクファクター: Medium

Base Score: 5.8

Temporal Score: 4.3

ベクトル: AV:N/AC:M/Au:N/C:P/I:P/A:N

現状ベクトル: E:U/RL:OF/RC:C

CVSS v3

リスクファクター: High

Base Score: 8.2

Temporal Score: 7.1

ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/o:oracle:linux:7, p-cpe:/a:oracle:linux:flatpak, p-cpe:/a:oracle:linux:flatpak-builder, p-cpe:/a:oracle:linux:flatpak-devel, p-cpe:/a:oracle:linux:flatpak-libs

必要な KB アイテム: Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list, Host/local_checks_enabled

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2021/3/29

脆弱性公開日: 2021/3/11

参照情報

CVE: CVE-2021-21381