Se ha revelado una nueva falla de seguridad en la biblioteca libcue que afecta a los sistemas GNOME Linux y que podría explotarse para lograr la ejecución remota de código (RCE) en los hosts afectados.
Seguimiento como CVE-2023-43641 (Puntuación CVSS: 8,8), el asunto se describe como un caso de corrupción de memoria en libcue, una biblioteca diseñada para analizar archivos de hojas de referencia. Afecta a las versiones 2.2.1 y anteriores.
libcue se incorpora a Mineros rastreadoresuna herramienta de motor de búsqueda que se incluye por defecto en GNOME e indexa archivos en el sistema para facilitar el acceso.
El problema tiene su origen en un acceso a una matriz fuera de los límites en la función track_set_index que permite lograr la ejecución del código en la máquina simplemente engañando a la víctima para que haga clic en un enlace malicioso y descargue un archivo .cue.
«Un usuario del entorno de escritorio GNOME puede ser explotado descargando una hoja de referencia de una página web maliciosa», según un descripción de la vulnerabilidad en la Base de Datos Nacional de Vulnerabilidad (NVD).
«Debido a que el archivo se guarda en ‘~/Descargas’, los rastreadores-mineros lo escanean automáticamente. Y debido a que tiene una extensión de nombre de archivo .cue, los rastreadores-mineros usan libcue para analizar el archivo. El archivo explota la vulnerabilidad en libcue para obtener la ejecución del código.»
Se ha retenido información técnica adicional sobre la vulnerabilidad para que los usuarios tengan tiempo suficiente para instalar las últimas actualizaciones.
«A veces, una vulnerabilidad en una biblioteca aparentemente inofensiva puede tener un gran impacto», dijo el investigador de seguridad de GitHub Kevin Backhouse, quien encontró el error. dicho. «Debido a la forma en que lo utilizan los rastreadores-mineros, esta vulnerabilidad en libcue se convirtió en un RCE con un solo clic».
La divulgación llega dos semanas después de que GitHub publicara detalles completos sobre CVE-2023-3420de alta gravedad vulnerabilidad de confusión de tipos en el motor JavaScript de Google Chrome V8 que permite la ejecución remota de código (RCE) en el entorno limitado de renderizado de Chrome visitando un sitio malicioso.
«Vulnerabilidades como esta suelen ser el punto de partida para un exploit de ‘un clic’, que compromete el dispositivo de la víctima cuando visita un sitio web malicioso», afirma el investigador de seguridad Man Yue Mo. dicho. «Un renderizador RCE en Chrome permite a un atacante comprometer y ejecutar código arbitrario en el proceso de renderizado de Chrome».