CVE-2015-5224

Funkcja mkostemp w module login-utils pakietu util-linux jest używana w sposób nieprawidłowy, co prowadzi do możliwości przewidzenia lub wymuszenia kolizji nazwy tymczasowego pliku tworzonego przez aplikację. Błąd powiązany jest z CWE-377 (insecure temporary file), co oznacza, że plik tymczasowy może zostać przejęty lub zastąpiony przez atakującego przed jego właściwym użyciem przez aplikację. Mechanizm ten może umożliwić manipulację danymi zapisywanymi do pliku lub inne ataki związane z wyścigiem o zasób (race condition).

Atakujący może doprowadzić do kolizji nazw plików tymczasowych, co potencjalnie skutkuje naruszeniem poufności, integralności i dostępności danych systemowych — zgodnie z wektorem CVSS obejmującym pełne zagrożenie we wszystkich trzech obszarach.

Należy zastosować patch dostępny w repozytorium projektu util-linux (commit bde91c85bdc77975155058276f99d2e0f5eab5a9 na GitHub). Zaleca się aktualizację pakietu util-linux do wersji zawierającej tę poprawkę zgodnie z informacjami dystrybucji systemu operacyjnego oraz referencjami producenta.

Pakiet util-linux (komponent login-utils) — wersje wskazane w referencjach producenta (poprawka dostępna w repozytorium GitHub projektu util-linux).

Podatność została zgłoszona na liście oss-security w dniu 24 sierpnia 2015 roku, natomiast oficjalny wpis CVE opublikowano 23 sierpnia 2017 roku. Błąd jest również śledzony jako Red Hat Bugzilla #1256686.