PT-2025-21753
CVE-2025-4802
·
تاريخ النشر
2025-05-15
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
مكتبة GNU C من الإصدار 2.27 حتى 2.38
الوصف
توجد مشكلة في مكتبة GNU C تتمثل في البحث غير الصحيح في متغير البيئة
LD LIBRARY PATH لتحديد المكتبة التي يجب تحميلها عندما يستدعي ملف ثنائي setuid مرتبط بشكل ثابت الدالة dlopen(). ويشمل ذلك الاستدعاءات الداخلية لدالة dlopen() التي يتم تشغيلها بعد setlocale() أو الاستدعاءات لدوال Name Service Switch (NSS) مثل getaddrinfo(). يمكن لمهاجم محلي استغلال هذه الثغرة لتحميل مكتبة مشتركة ديناميكيًا يسيطر عليها المهاجم، مما قد يؤدي إلى رفض الخدمة، أو تصعيد الامتيازات، أو تنفيذ تعليمات برمجية تعسفية بامتيازات الجذر.التوصيات
قم بالتحديث إلى الإصدار 2.39.
بالنسبة إلى Debian 11 bullseye، قم بتحديث حزم glibc إلى الإصدار 2.31-13+deb11u13.
بالنسبة إلى أنظمة Ubuntu، قم بتحديث حزم glibc إلى الإصدار 2.31-0ubuntu9.18.
كإجراء تخفيفي مؤقت، قم بمراجعة الملفات الثنائية setuid وإزالة الملفات المرتبطة بشكل ثابت غير الضرورية.
قم بتنفيذ آليات التحكم في الوصول مثل SELinux أو AppArmor لتقييد التلاعب بمتغيرات البيئة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾