Ubuntu vá lỗ hổng thực thi lệnh trong signing-party trên Bionic và Xenial

Ubuntu đã công bố advisory về bản vá cho lỗ hổng trong signing-party, bộ công cụ liên quan đến xử lý khóa OpenPGP. Quản trị viên Ubuntu Bionic và Xenial nên kiểm tra phiên bản gói cùng khả năng nhận cập nhật từ pocket ESM tương ứng.

Tổng quan và thông tin kỹ thuật

Lỗ hổng CVE-2019-11627 ảnh hưởng đến gpg-key2ps trong signing-party. Hồ sơ mô tả nguy cơ thực thi lệnh tùy ý với quyền của tài khoản đăng nhập khi người dùng bị dụ xử lý khóa OpenPGP được tạo đặc biệt.

Phạm vi ảnh hưởng

Hồ sơ nêu các gói signing-party dành cho Ubuntu Bionic và Xenial, cùng phiên bản đã vá tương ứng được phát hành trong pocket ESM. Hãy đối chiếu phiên bản với đúng bản phát hành Ubuntu.

Cơ chế và tác động

gpg-key2ps không làm sạch đúng cách user ID trước khi chuyển dữ liệu cho shell. Nếu người dùng bị dụ xử lý khóa OpenPGP được tạo đặc biệt, công cụ có thể thực thi lệnh tùy ý với quyền của tài khoản đăng nhập.

Kiểm tra hệ thống

1. Kiểm tra phiên bản signing-party đang cài và chính sách gói; nếu phiên bản thấp hơn bản đã vá dành cho bản phát hành Ubuntu tương ứng, cần cập nhật.

   Sao chép lệnh

   dpkg-query -W -f='${Version}\n' signing-party
   apt-cache policy signing-party

2. Kiểm tra trạng thái Ubuntu Pro/ESM để xác nhận dịch vụ phù hợp được bật và hệ thống có thể nhận bản cập nhật từ pocket tương ứng.

   Sao chép lệnh

   pro status

Khắc phục và giảm thiểu

1. Ưu tiên cập nhật signing-party trên các hệ thống Ubuntu Bionic và Xenial đang sử dụng gói bị ảnh hưởng.

2. Thực hiện cập nhật hệ thống tiêu chuẩn và bảo đảm signing-party được nâng cấp lên phiên bản đã vá trong pocket ESM tương ứng. Với các gói thuộc pocket ESM, xác nhận hệ thống có quyền truy cập Ubuntu Pro tương ứng.

Nguồn: Ubuntu USN-9087-1.