For the English version of this alert, click here.
Allele Security Alert
ASA-2018-00006
Identificador(es)
ASA-2018-00006, CVE-2018-15686
Título
Uso de fgets() permite a injeção de estado durante desserialização de dados
Fabricante(s)
Lennart Poettering
Produto(s)
systemd
Versão(ões) afetada(s)
systemd até a versão 239
Versão(ões) afetada(s)
systemd 240
Descrição
systemd tem a propriedade de serializar e desserializar dados. Em algumas funções deste recurso, linhas maiores que LINE_MAX não são gerenciadas corretamente e o conteúdo de uma propriedade maior que LINE_MAX pode ser interpretado como estado serializado. Isto permite um atacante corromper ou injetar valores no estado do serviço quando systemd realizar a desserialização de dados.
Referência(s)
pid1 serialization/deserialization fixes
https://github.com/systemd/systemd/pull/10519/commits/8948b3415d762245ebf5e19d80b97d4d8cc208c1
Bug 1639071 – (CVE-2018-15686) CVE-2018-15686 systemd: Line splitting via fgets() allows for state injection during daemon-reexec
https://bugzilla.redhat.com/show_bug.cgi?id=1639071
systemd: reexec state injection: fgets() on overlong lines leads to line splitting
https://bugs.launchpad.net/ubuntu/+source/systemd/+bug/1796402
CVE-2018-15686
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15686
CVE-2018-15686
https://nvd.nist.gov/vuln/detail/CVE-2018-15686
Se encontrou algum erro neste alerta ou deseja uma análise compreensiva, entre em contato.
Última modificação: 31 janeiro 2019