KDE KIO子系统网络协议实现任意命令执行漏洞

admin

0
文章

0
评论

2022-07-22 09:59:17 CNNVD漏洞来源：ZONE.CI 全球网 0 阅读模式

漏洞信息详情

KDE KIO子系统网络协议实现任意命令执行漏洞

CNNVD编号：CNNVD-200211-056
危害等级：中危
CVE编号： CVE-2002-1281
漏洞类型：访问验证错误
发布时间： 2002-11-29
威胁类型：远程
更新时间： 2005-10-20
厂商： kde
漏洞来源： KDE security advis...

漏洞简介

KDE是开放源代码用于Unix工作站的图形桌面环境，KDE提供通过KIO子系统支持各种网络协议。这些协议使用包含扩展.protocol的文本文件实现，一般存在于KDE安装root目录下的shared/services/子目录。 KDE KIO子系统的rlogin和telnet协议实现存在漏洞，远程攻击者可以利用这个漏洞以当前用户权限在系统上执行任意命令。攻击者可以构建包含恶意URL的HTML页面，HTML邮件或其他使用KIO的应用程序，当目标用户被诱使点击的时候可导致以目标用户权限在系统上执行任意指令。 rlogin协议在所有系统中都存在，而telnet协议只影响KDE 2系统。

漏洞公告

临时解决方法：如果您不能立刻安装补丁或者升级，CNNVD建议您采取以下措施以降低威胁：

* 关闭KDE系统中的rlogin和telnet KIO协议，这可以通过删除任何在系统中的'rlogin.protocol'和'telnet.protocol'文件完成。厂商补丁： KDE --- KDE已经为此发布了一个安全公告(KDE-20021111-1)以及相应补丁:

KDE-20021111-1：rlogin.protocol and telnet.protocol URL KIO Vulnerability

链接： http://www.kde.org/info/security/advisory-20021111-1.txt

补丁下载：

KDE Upgrade KDE 3.0.5

http://download.kde.org/stable/3.0.5/

KDE Patch post-3.0.4-kdelibs-kio-misc.diff

ftp://ftp.kde.org/pub/kde/security_patches/post-3.0.4-kdelibs-kio-misc.diff

参考网址

来源: BID 名称: 6182 链接:http://www.securityfocus.com/bid/6182 来源: REDHAT 名称: RHSA-2002:220 链接:http://www.redhat.com/support/errata/RHSA-2002-220.HTML 来源: www.kde.org 链接:http://www.kde.org/info/security/advisory-20021111-1.txt 来源: MANDRAKE 名称: MDKSA-2002:079 链接:http://www.linux-mandrake.com/en/security/2002/MDKSA-2002-079.php 来源: XF 名称: kde-rlogin-command-execution(10602) 链接:http://www.iss.net/security_center/static/10602.php 来源: DEBIAN 名称: DSA-204 链接:http://www.debian.org/security/2002/dsa-204 来源: SECUNIA 名称: 8298 链接:http://secunia.com/advisories/8298 来源: BUGTRAQ 名称: 20021114 GLSA: kdelibs 链接:http://marc.theaimsgroup.com/?l=bugtraq&m=103728981029342&w=2 来源: BUGTRAQ 名称: 20021112 KDE Security Advisory: rlogin.protocol and telnet.protocol URL KIO Vulnerability 链接:http://marc.theaimsgroup.com/?l=bugtraq&m=103712550205730&w=2 来源: CALDERA 名称: CSSA-2003-012.0 链接:ftp://ftp.caldera.com/pub/security/OpenLinux/CSSA-2003-012.0.txt