PT-2020-6168 · Packagekit+3 · Packagekit+3

Niemimsa + 1 · Publicado 2020-06-04 · Atualizado 2022-10-21 · CVE-2020-16122

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

PackageKit (versões afetadas não especificadas)

Descrição

O problema está relacionado ao backend do apt do PackageKit, que trata incorretamente todos os pacotes deb locais como confiáveis. Isso é problemático porque o modelo de segurança do apt se baseia na confiança no repositório, e não no conteúdo de arquivos individuais. Como resultado, em sistemas com regras do PolicyKit configuradas, os usuários podem conseguir instalar pacotes maliciosos. A vulnerabilidade está associada a erros no gerenciamento de privilégios, permitindo que um invasor comprometa a integridade dos dados.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Insufficient Verification of Data Authenticity

Improper Privilege Management

Enumeração de Fraquezas

CWE-345

CWE-269

Identificadores relacionados

BDU:2021-03398

CVE-2020-16122

DLA-2399-1

USN-4538-1

Produtos afetados

Astra Linux

Linuxmint

Packagekit

Ubuntu

Referências · 22

• https://github.com/PackageKit/PackageKit/pull/433 · Nota
• https://github.com/PackageKit/PackageKit/commit/eb81e2f505684ffa0fcd0a461027af2d3b471a90 · Nota
• https://bugs.launchpad.net/ubuntu/+source/packagekit/+bug/1882098 · Nota
• https://ubuntu.com/security/CVE-2020-16121 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-16122 · Nota de Segurança
• https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-16122 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-16122 · Nota de Segurança
• https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16 · Aviso do Fabricante
• https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%9E%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F/2.5 · Nota
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-16122 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-16122 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-4538-1 · Aviso do Fabricante
• https://wiki.astralinux.ru/pages/viewpage.action?pageId=47416144 · Aviso do Fabricante