CVE-2022-23121

Netatalk: RCE bez uwierzytelnienia przez błąd parsowania AppleDouble

CVSS 9.8v3.1pub. 2023-03-28upd. 2025-11-04

Krytyczna podatność w oprogramowaniu Netatalk umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez konieczności uwierzytelnienia. Zagrożenie jest szczególnie poważne, ponieważ kod wykonywany jest w kontekście konta root.

▸ Pokaż oryginał (EN)

This vulnerability allows remote attackers to execute arbitrary code on affected installations of Netatalk. Authentication is not required to exploit this vulnerability. The specific flaw exists within the parse_entries function. The issue results from the lack of proper error handling when parsing AppleDouble entries. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-15819.

🤖 Analiza AI

Jak działa

Błąd znajduje się w funkcji parse_entries, która odpowiada za przetwarzanie wpisów w formacie AppleDouble. Problem wynika z braku odpowiedniej obsługi błędów podczas parsowania tych wpisów. Atakujący może wysłać spreparowane dane do podatnego systemu, co prowadzi do wykonania dowolnego kodu z uprawnieniami root. Podatność nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika.

Skutki

Atakujący może zdalnie wykonać dowolny kod w kontekście konta root, co skutkuje pełnym przejęciem kontroli nad systemem, w tym możliwością odczytu i modyfikacji danych oraz instalacji złośliwego oprogramowania.

Mitygacja

Należy zaktualizować Netatalk do wersji 3.1.13 lub nowszej. Użytkownicy dystrybucji Debian powinni zastosować patche zgodnie z komunikatami bezpieczeństwa DSA-5503 oraz ogłoszeniami debian-lts-announce z maja i czerwca 2023. Użytkownicy Gentoo powinni zapoznać się z GLSA-202311-02.