Debian DSA-3451-1：fuse - セキュリティ更新

high Nessus プラグイン ID 88109

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Jann Horn discovered 氏は、Debian で、fuse（ユーザー空間でのファイルシステム）パッケージに脆弱性があることを発見しました。fuse パッケージには、関連する /dev/cuse キャラクターデバイスでパーミッションを調整する udev ルールが搭載されており、それを誰でも書き込めるようにしています。

これにより、権限のないローカルの攻撃者が、/dev に任意の名前でキャラクターデバイスを作成することができ、それを開いてそこで ioctl を実行するプロセスのメモリを改ざんすることができます。

これに続いて、権限のないローカルの攻撃者が、ルート権限に昇格できる可能性があります。

ソリューション

fuse パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、fuse パッケージは影響を受けません。

安定版（stable）ディストリビューション（jessie）では、この問題はバージョン 2.9.3-15+deb8u2 で修正されています。