Jann Horn discovered 氏は、Debian で、fuse（ユーザー空間でのファイルシステム）パッケージに脆弱性があることを発見しました。fuse パッケージには、関連する /dev/cuse キャラクターデバイスでパーミッションを調整する udev ルールが搭載されており、それを誰でも書き込めるようにしています。

これにより、権限のないローカルの攻撃者が、/dev に任意の名前でキャラクターデバイスを作成することができ、それを開いてそこで ioctl を実行するプロセスのメモリを改ざんすることができます。

これに続いて、権限のないローカルの攻撃者が、ルート権限に昇格できる可能性があります。

検出

Debian DSA-3451-1：fuse - セキュリティ更新

high Nessus プラグイン ID 88109

変更ログが見つかりません