Fecha de publicación: 28/10/2021
Importancia:
Media
Recursos afectados:
Garuda Linux.
Descripción:
INCIBE ha coordinado la publicación de una vulnerabilidad en Garuda Linux, con el código interno INCIBE-2021-0444, que ha sido descubierta por Jesús Olmos en fox-it/nccgroup.
A esta vulnerabilidad se le ha asignado el código CVE-2021-3784. Se ha calculado una puntuación base CVSS v3.1 de 5,3; siendo el cálculo del CVSS el siguiente: AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L.
Solución:
El problema se ha solucionado en la última versión de Garuda.
Detalle:
Garuda Linux realiza una creación y autenticación de usuarios insegura que permite a cualquier usuario suplantar la cuenta creada.
Al crear usuarios desde la opción ‘Garuda settings manager’, se realiza un procedimiento inseguro que mantiene al usuario creado sin contraseña asignada durante algunos segundos. Esto podría permitir a un potencial atacante explotar esta vulnerabilidad para autenticarse sin conocer la contraseña.
Esta vulnerabilidad ya está corregida en la última versión de Garuda Linux.
CWE-285: Autorización incorrecta.
Línea temporal:
09/08/2021 – Los investigadores contactan con INCIBE.
13/09/2021 – Garuda Linux soluciona la vulnerabilidad.
28/10/2021 – INCIBE publica el aviso.
Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en la sección de asignación y publicación de CVE.
Etiquetas:
0day, Actualización, CNA, Linux, Vulnerabilidad
Ir a la fuente
Author: INCIBE
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.