Aviso de seguridad de Debian

DSA-4253-1 network-manager-vpnc -- actualización de seguridad

Fecha del informe:
23 de jul de 2018
Paquetes afectados:
network-manager-vpnc
Vulnerable:
Referencias a bases de datos de seguridad:
En el sistema de seguimiento de errores de Debian: error 904255.
En el diccionario CVE de Mitre: CVE-2018-10900.
Información adicional:

Denis Andzakovic descubrió que network-manager-vpnc, una extensión («plugin») para proporcionar soporte VPNC a NetworkManager, es propenso a una vulnerabilidad de elevación de privilegios. Se puede usar un carácter de nueva línea para inyectar un parámetro «Password helper» en los datos de configuración pasados a vpnc, lo que permite que un usuario local con privilegios para modificar una conexión del sistema ejecute órdenes arbitrarias como root.

Para la distribución «estable» (stretch), este problema se ha corregido en la versión 1.2.4-4+deb9u1.

Le recomendamos que actualice los paquetes de network-manager-vpnc.

Para información detallada sobre el estado de seguridad de network-manager-vpnc consulte su página del «security tracker» en: https://security-tracker.debian.org/tracker/network-manager-vpnc