CVE-2011-0469

Code injection w openSUSE Open Build Service 2.1 (przed 11 marca 2011)

CVSS 9.8v3.0pub. 2017-08-17upd. 2026-05-13

Podatność typu code injection w openSUSE pozwalała na wstrzyknięcie i wykonanie złośliwego kodu podczas uruchamiania niektórych usług źródłowych (source services) w Open Build Service 2.1. Otrzymała ocenę CVSS 9.8 (CRITICAL), co wskazuje na bardzo wysokie ryzyko dla systemów, których dotyczy.

▸ Pokaż oryginał (EN)

Code injection in openSUSE when running some source services used in the open build service 2.1 before March 11 2011.

🤖 Analiza AI

Jak działa

Podatność (CWE-94 — Improper Control of Generation of Code) wynika z niewystarczającej walidacji danych wejściowych przetwarzanych przez source services w Open Build Service 2.1. Atakujący zdalnie, bez uwierzytelnienia i interakcji użytkownika, mógł dostarczyć specjalnie spreparowane dane, które system następnie interpretował i wykonywał jako kod. Problem został usunięty poprzez poprawki opublikowane w repozytorium GitHub projektu.

Skutki

Skuteczne wykorzystanie podatności umożliwia atakującemu zdalne wykonanie dowolnego kodu na podatnym systemie z potencjalnym pełnym naruszeniem poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne w repozytorium Open Build Service (commity: 23c8d21c75242999e29379e6ca8418a14c8725c6 oraz 76b0ab003f34435ca90d943e02dd22279cdeec2a) lub zaktualizować Open Build Service do wersji zawierającej wskazane poprawki. Szczegóły dostępne w zgłoszeniu Bugzilla SUSE #679325.

Kogo dotyczy

openSUSE z Open Build Service w wersji 2.1 przed 11 marca 2011 roku

Uwagi

Podatność dotyczy wersji Open Build Service 2.1 sprzed 11 marca 2011 roku — data graniczna jest wprost wskazana w opisie CVE. Pomimo że CVE zostało opublikowane w 2017 roku, luka i jej naprawa pochodzą z 2011 roku.