Boletines de Vulnerabilidades

int(2009)

Boletines de Vulnerabilidades

Corrupción de punto de montaje en FUSE
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	Oficial
Impacto	Integridad
Dificultad	Experto
Requerimientos del atacante	Acceso remoto con cuenta
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	GNU/Linux
Software afectado	FUSE < 2.4.1
Descripción
Se ha descubierto una vulnerabilidad en FUSE versión anterior a 2.4.1. La vulnerabilidad reside en que el programa "fusermount" no maneja correctamente ciertos caracteres especificados en los nombres de los puntos de montaje. Un atacante local podría corromper el contenido de "/etc/mtab" mediante el montaje de un dispositivo sobre un directorio con un nombre especialmente diseñado. Existe también la posibilidad de que se el atacante pueda modificar opciones de montaje. Para explotar esta vulnerabilidad es necesario que "fusermount" este instalado setuid root.
Solución
Actualización del software Mandriva Mandrivalinux 2006 X86 ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/2006.0/RPMS/dkms-fuse-2.3.0-2.1.20060mdk.i586.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/2006.0/RPMS/fuse-2.3.0-2.1.20060mdk.i586.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/2006.0/RPMS/libfuse2-2.3.0-2.1.20060mdk.i586.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/2006.0/RPMS/libfuse2-devel-2.3.0-2.1.20060mdk.i586.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/2006.0/RPMS/libfuse2-static-devel-2.3.0-2.1.20060mdk.i586.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/2006.0/SRPMS/fuse-2.3.0-2.1.20060mdk.src.rpm X86_64 ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/x86_64/2006.0/RPMS/dkms-fuse-2.3.0-2.1.20060mdk.x86_64.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/x86_64/2006.0/RPMS/fuse-2.3.0-2.1.20060mdk.x86_64.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/x86_64/2006.0/RPMS/lib64fuse2-2.3.0-2.1.20060mdk.x86_64.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/x86_64/2006.0/RPMS/lib64fuse2-devel-2.3.0-2.1.20060mdk.x86_64.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/x86_64/2006.0/RPMS/lib64fuse2-static-devel-2.3.0-2.1.20060mdk.x86_64.rpm ftp://ftp.ps.pl/mirrors/Mandrakelinux/official/updates/x86_64/2006.0/SRPMS/fuse-2.3.0-2.1.20060mdk.src.rpm
Identificadores estándar
Propiedad	Valor
CVE	CVE-2005-3531
BID	15529
Recursos adicionales
Mandriva Security Advisory (MDKSA-2005:216) http://www.mandriva.com/security/advisories?name=MDKSA-2005:216