Carlos Odonell

**Nome do Software Vulnerável e Versões Afetadas** GNU C Library versões 2.27 through 2.38 **Descrição** Existe um problema na GNU C Library onde a variável de ambiente `LD LIBRARY PATH` é pesquisada incorretamente para determinar qual biblioteca carregar quando um binário setuid vinculado estaticamente chama a função `dlopen()`. Isso inclui chamadas internas para `dlopen()` disparadas após `setlocale()` ou chamadas para funções Name Service Switch (NSS), como `getaddrinfo()`. Um invasor local pode explorar isso para carregar uma biblioteca compartilhada dinamicamente controlada pelo invasor, podendo levar a uma negação de serviço, escalonamento de privilégios ou execução de código arbitrário com privilégios de root. **Recomendações** Atualizar para a versão 2.39. Para Debian 11 bullseye, atualizar os pacotes glibc para a versão 2.31-13+deb11u13. Para sistemas Ubuntu, atualizar os pacotes glibc para a versão 2.31-0ubuntu9.18. Como mitigação temporária, realize uma auditoria nos binários setuid e remova arquivos vinculados estaticamente que sejam desnecessários. Implemente mecanismos de controle de acesso, como SELinux ou AppArmor, para restringir a manipulação de variáveis de ambiente.