PT-2020-14759 · Canonical+1 · Pulseaudio+2

James Henstridge

·

Publicado

2020-11-23

·

Atualizado

2020-12-10

·

CVE-2020-16123

CVSS v3.1

4.7

Média

VetorAV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do PulseAudio 1:13.99.3-1ubuntu2, 1:13.99.2-1ubuntu2.1, 1:13.99.1-1ubuntu3.8, 1:11.1-1ubuntu7.11 e 1:8.0-0ubuntu3.15
Descrição
Um patch específico do Ubuntu no PulseAudio criou uma condição de corrida em que o módulo de política do snap não conseguia identificar uma conexão de cliente proveniente de um snap como tal, caso SCM CREDENTIALS estivesse ausente, permitindo que o snap se conectasse ao PulseAudio sem o confinamento adequado. Isso poderia ser explorado por um invasor para expor informações confidenciais.
Recomendações
Para a versão 1:13.99.3-1ubuntu2, atualize para esta versão ou posterior para corrigir o problema.
Para a versão 1:13.99.2-1ubuntu2.1, atualize para esta versão ou posterior para corrigir o problema.
Para a versão 1:13.99.1-1ubuntu3.8, atualize para esta versão ou uma posterior para corrigir o problema.
Para a versão 1:11.1-1ubuntu7.11, atualize para esta versão ou uma posterior para corrigir o problema.
Para a versão 1:8.0-0ubuntu3.15, atualize para esta versão ou uma posterior para corrigir o problema.

Exploit

Correção

Race Condition

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2020-16123
USN-4640-1

Produtos afetados

Linuxmint
Pulseaudio
Ubuntu