保安警報 (A19-02-05): Linux 操作系統漏洞

描述:

被多個Linux發行版本所使用的軟件發行和套裝管理系統「snapd」中發現了一個漏洞。該漏洞可通過濫用snapd的應用程式界面(API)導致受影響系統權限提升。本機攻擊者可利用此漏洞在受影響系統取得root權限。

受影響的系統:

以下僅為一些受影響Linux系統的例子。該列表並不包括所有受影響的系統，我們強烈建議用戶諮詢產品供應商以確定使用的Linux系統是否受到影響。

• Ubuntu 14.04 LTS, 16.04 LTS, 18.04 LTS, 18.10
• 使用 snapd 的 Linux 操作系統

影響:

成功利用這個漏洞可以導致受影響的系統權限提升。

建議:

有些受影響的Linux發行版本，例如 Ubuntu 及 Debian ，已提供了解決措施。系統管理員應向產品供應商查詢其 Linux 系統是否受影響及修補程式的情況。若修補程式已提供，系統管理員應立即安裝及遵從產品供應商的建議以降低風險。

• Ubuntu
  https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-7304.html
  
  
• Debian
  https://security-tracker.debian.org/tracker/CVE-2019-7304
  
  

進一步資訊:

https://securityaffairs.co/wordpress/81059/hacking/snapd-privilege-escalation.html
https://thehackernews.com/2019/02/snapd-linux-privilege-escalation.html
https://www.hkcert.org/my_url/zh/alert/19021401
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-7304