JVNDB-2013-001902

自動バグ報告ツール (ABRT) における任意の Python モジュールをロードおよび実行される脆弱性

自動バグ報告ツール (Automatic Bug Reporting Tool、略称 ABRT) の plugins/abrt-action-install-debuginfo-to-abrt-cache.c には、検索パスに関する処理に不備があるため、任意の Python モジュールをロードおよび実行される脆弱性が存在します。

補足情報 : CWE による脆弱性タイプは、CWE-426: Untrusted Search Path (信頼性のない検索パス) と識別されています。
http://cwe.mitre.org/data/definitions/426.html

レッドハット

• 自動バグ報告ツール (ABRT) 2.0.9 およびそれ以前

ローカルユーザにより、悪意のある Python モジュールを参照するように PYTHONPATH 環境変数を変更されることで、任意の Python モジュールをロードおよび実行される可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Fedora Project

• Fedora Hosted : abrt-action-install-debuginfo-to-abrt-cache: clear entire environment

レッドハット

• Red Hat Bugzilla : Bug 854011
• Red Hat Security Advisory : RHSA-2013:0215

1. その他(CWE-Other) [NVD評価]

1. CVE-2012-5659

1. National Vulnerability Database (NVD) : CVE-2012-5659

• [2013年03月21日]
    掲載