Blueman 注入漏洞

漏洞介绍

Blueman是Blueman团队的一个适合在 GNOME 桌面环境使用的图形化蓝牙管理工具。主要功能有：发送文件、浏览设备上的文件、查看本地或远程设备的信息、配置本地设备、管理绑定、绑定服务等。

Blueman 2.1.4之前版本存在注入漏洞，该漏洞源于D-Bus接口DhcpClient方法容易存在参数注入漏洞。影响很大程度上取决于系统配置。如果禁用了polkit1，并且对于低于2.0.6的版本，任何本地用户都可以利用它。如果版本2.0.6或更高版本启用了Polkit-1，则需要允许可能的攻击者可利用该漏洞使用org.blueman.dhcp.client。

漏洞补丁

目前厂商已发布升级了Blueman 注入漏洞的补丁，Blueman 注入漏洞的补丁获取链接：

https://github.com/blueman-project/blueman/security/advisories/GHSA-jpc9-mgw6-2xwx

参考网址

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/W52NP7HRFTNAVNZLGKY4GR3JIZG5KKGS/

来源:MISC

链接：https://packetstormsecurity.com/files/159740/Blueman-Local-Root-Privilege-Escalation.html

来源:MISC

链接：https://bugs.launchpad.net/ubuntu/+source/blueman/+bug/1897287

来源:MISC

链接：https://github.com/blueman-project/blueman/releases/tag/2.1.4

来源:DEBIAN

链接：https://www.debian.org/security/2020/dsa-4781

来源:MLIST

链接：https://lists.debian.org/debian-lts-announce/2020/11/msg00005.html

来源:GENTOO

链接：https://security.gentoo.org/glsa/202011-11

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/6CFLMNHAHX5HPIKC5IG6F25HO5Z6RH2N/

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/3F4EQU6CAPBKAPJ42HTB473NJLXFKB32/

来源:CONFIRM

链接：https://github.com/blueman-project/blueman/security/advisories/GHSA-jpc9-mgw6-2xwx

来源:www.auscert.org.au

链接：https://www.auscert.org.au/bulletins/ESB-2020.3702/

来源:nvd.nist.gov

链接：https://nvd.nist.gov/vuln/detail/CVE-2020-15238

来源:packetstormsecurity.com

链接：https://packetstormsecurity.com/files/159740/Blueman-Local-Root-Privilege-Escalation.html

来源:packetstormsecurity.com

链接：https://packetstormsecurity.com/files/159800/Ubuntu-Security-Notice-USN-4605-2.html

来源:www.auscert.org.au

链接：https://www.auscert.org.au/bulletins/ESB-2020.3790/

来源:packetstormsecurity.com

链接：https://packetstormsecurity.com/files/160014/Gentoo-Linux-Security-Advisory-202011-11.html

来源:vigilance.fr

链接：https://vigilance.fr/vulnerability/Blueman-privilege-escalation-via-Blueman-mechanism-D-Bus-Interface-33694

来源:packetstormsecurity.com

链接：https://packetstormsecurity.com/files/159721/Ubuntu-Security-Notice-USN-4605-1.html

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202010-1508