BLSA-2017:0054 – [重要] kdelibs 安全警告及修复方法



  • BLSA-2017:0054 – [重要] kdelibs 安全警告及修复方法

    问题描述

    kdelibs 最近暴露出一个本地提权漏洞(CVE-2017-8422),本地用户利用这个漏洞可以进行本地提权。建议所有使用受影响产品的用户都安装BCLinux提供的的更新补丁。

    KDELibs简介
    KDELibs是创建在Qt框架之上,它提供框架和众多功能来开发KDE软件,使应用程序更容易编写,并提供KDE桌面环境的一致性。KDELibs的授权为LGPL v2。

    影响版本

    • BigCloud Enterprise Linux 7
    • Red Hat Enterprise Linux 7
    • CentOS Linux 7

    详细介绍

    • CVE-2017-8422 [重要]
      kdelibs在处理D-Bus消息时暴露出一个本地提权漏洞,本地用户可以利用这个漏洞通过伪装一个callerID并利用特权提升应用程序来获得root权限。

    解决方案

    目前,BCLinux的官方源已经提供 kdelibs 更新软件包,受影响的 BCLinux 7 客户端用户需要升级到 4.14.8-6.el7_3 版本。

    1.检查YUM源设置,确保使用的是BCLinux官方YUM源

    [root@BCLinux ~]# ll /etc/yum.repos.d/
    total 16
    -rw-r--r--. 1 root root 1127 Jan  7  2016 BCLinux-Base.repo
    -rw-r--r--. 1 root root  794 Jan  7  2016 BCLinux-Kernel.repo
    -rw-r--r--. 1 root root 1153 Jan  7  2016 BCLinux-Source.repo
    -rw-r--r--. 1 root root  801 Jan  7  2016 BigCloud.repo
    

    2.安装更新

    [root@BCLinux ~]# yum  update kdelibs
    Loaded plugins: fastestmirror
    Loading mirror speeds from cached hostfile
    Resolving Dependencies
    --> Running transaction check
    ---> Package kdelibs.x86_64 6:4.14.8-5.el7_2 will be updated
    --> Processing Dependency: kdelibs(x86-64) = 6:4.14.8-5.el7_2 for package: 6:kdelibs-ktexteditor-4.14.8-5.el7_2.x86_64
    ---> Package kdelibs.x86_64 6:4.14.8-6.el7_3 will be an update
    --> Processing Dependency: kdelibs-common = 6:4.14.8-6.el7_3 for package: 6:kdelibs-4.14.8-6.el7_3.x86_64
    --> Running transaction check
    ---> Package kdelibs-common.x86_64 6:4.14.8-5.el7_2 will be updated
    ---> Package kdelibs-common.x86_64 6:4.14.8-6.el7_3 will be an update
    ---> Package kdelibs-ktexteditor.x86_64 6:4.14.8-5.el7_2 will be updated
    ---> Package kdelibs-ktexteditor.x86_64 6:4.14.8-6.el7_3 will be an update
    --> Finished Dependency Resolution
    
    Dependencies Resolved
    
    ===============================================================================================================================================
     Package                                  Arch                        Version                               Repository                    Size
    ===============================================================================================================================================
    Updating:
     kdelibs                                  x86_64                      6:4.14.8-6.el7_3                      updates                       11 M
    Updating for dependencies:
     kdelibs-common                           x86_64                      6:4.14.8-6.el7_3                      updates                      1.9 M
     kdelibs-ktexteditor                      x86_64                      6:4.14.8-6.el7_3                      updates                       73 k
    
    Transaction Summary
    ===============================================================================================================================================
    Upgrade  1 Package (+2 Dependent packages)
    
    Total download size: 13 M
    Is this ok [y/d/N]: y
    

    3.复查

    [root@BCLinux ~]# rpm -q kdelibs
    kdelibs-4.14.8-6.el7_3.x86_64
    

    4.重启应用

    安装升级包以后,重启应用,更新生效。

    外部链接

    1.BCLinux安全更新