【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328

admin 2023年1月16日14:57:37安全漏洞评论5 views792字阅读2分38秒阅读模式


【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328

漏洞名称:

Snapd 本地权限提升漏洞

组件名称:

Snapd

影响范围:

2.54.3 ≤ Snapd < 2.57.6

漏洞类型:

权限提升

利用条件:

1、用户认证:需要
2、前置条件:普通用户权限
3、触发方式:本地

综合评价:

<综合评定利用难度>:未知。

<综合评定威胁等级>:高危,能造成权限提升。

官方解决方案:

已发布


漏洞分析

【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328

组件介绍

Snap是适用于桌面、云和物联网的应用程序包,可自动更新、易于安装、安全、跨平台且无依赖性。

【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328

漏洞简介

2022年12月2日,深信服安全团队监测到一则Snapd组件存在权限提升漏洞的信息,漏洞编号:CVE-2022-3328,漏洞威胁等级:高危。


该漏洞是由于Snapd存在条件竞争导致,攻击者在拥有低权限的情况下结合其他漏洞(CVE-2022-41974、CVE-2022-41973)将/tmp目录绑定到文件系统中的任意目录,从而将普通用户权限提升至root权限。

影响范围

目前受影响的Snapd版本:

2.54.3 ≤ Snapd < 2.57.6

解决方案

【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328

如何检测组件系统版本

输入“snap version”查看当前Snapd版本:

【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328
【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328

官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://github.com/snapcore/snapd/releases/tag/2.57.6

参考链接

https://www.qualys.com/2022/11/30/cve-2022-3328/advisory-snap.txt

时间轴


2022/12/2

深信服监测到 Qualys 官方发布安全公告。

2022/12/2

深信服千里目安全技术中心发布漏洞通告。


点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328


【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328


原文始发于微信公众号(深信服千里目安全技术中心):【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月16日14:57:37
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【漏洞通告】Snapd本地权限提升漏洞 CVE-2022-3328 http://cn-sec.com/archives/1440995.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: