PT-2026-50782
CVE-2026-48981
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-06-22
الوصف من
CVSS 3.1
6.7
متوسطةالمقاييسAV:L/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات pam usb الأقدم من 0.9.2
الوصف
يوفر pam usb المصادقة عبر الأجهزة لنظام Linux باستخدام الوسائط القابلة للإزالة. يستدعي البرنامج الدالة
xmlReadFile() مع flags=0 عند تحميل ملف التكوين، مما يسمح لـ libxml2 بمعالجة مراجع الكيانات الخارجية. وقد يؤدي ذلك إلى معالجة الكيانات الخارجية لـ XML (XXE)، حيث قد يقوم النظام بقراءة الملفات المحلية أو إجراء اتصالات شبكية صادرة أثناء تحليل XML من سياق عملية المصادقة. يتطلب الاستغلال أن يحتوي ملف التكوين على مراجع كيانات XML مصممة خصيصًا. ونظرًا لأن ملف التكوين مملوك لمستخدم root، فإن الوصول للكتابة إلى الملف ضروري للاستغلال؛ ومع ذلك، فإن التأثير كبير لأن الوحدة النمطية pam usb.so تعمل في سياقات setuid مثل sudo وsu.التوصيات
التحديث إلى الإصدار 0.9.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾