PT-2026-36503
CVE-2026-37525
·
تاريخ النشر
2026-05-01
·
تاريخ التحديث
2026-05-07
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAC:L/AV:L/A:H/C:H/I:H/PR:L/S:U/UI:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات AGL app-framework-binder (afb-daemon) الأقدم من 19.90.1
الوصف
توجد مشكلة في تصعيد الامتيازات في أمر الإشراف Do. تقوم الدالة
on supervision call() الموجودة في src/afb-supervision.c بإبطال بيانات اعتماد الطلب عن طريق استدعاء afb context change cred(&xreq->context, NULL) قبل إرسال استدعاء واجهة برمجة التطبيقات (API). ونظرًا لأن المعلمتين api وverb يتم التحكم فيهما عبر مدخلات JSON، يمكن للمهاجم تنفيذ أي واجهة برمجة تطبيقات مسجلة باستخدام سياق بيانات اعتماد NULL. وإذا كانت واجهة برمجة التطبيقات تعتمد على context->credentials للتفويض، فقد تفشل في الإغلاق، مما يسمح للمهاجم بالحصول على امتيازات أعلى.التوصيات
قم بالتحديث إلى إصدار أحدث من 19.90.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾