Debian DSA-2254-1：oprofile - コマンドインジェクション

high Nessus プラグイン ID 55042

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

OProfile は、そのコントロールユーティリティである opcontrol で構成可能なパフォーマンスプロファイリングツールです。Stephane Chauveau 氏は、このユーティリティの引数に任意のコマンドを注入するいくつかの方法を報告しました。ローカルの権限のないユーザーが sudoers ファイルによって opcontrol を root として実行する承認を得る場合、このユーザーは欠陥を利用して権限を昇格させる可能性があります。

ソリューション

oprofile パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（lenny）では、この問題はバージョン0.9.3-2+lenny1で修正されています。

安定版（stable）ディストリビューション（squeeze）では、この問題はバージョン0.9.6-1.1+squeeze1で修正されました。