手机版
你好,游客 登录 注册 搜索
背景:
阅读新闻

CVE-2020-8597:Linux系统pppd远程执行代码漏洞警报

[日期:2020-03-10] 来源:Linux公社  作者:醉落红尘 [字体: ]

3月6日,US-CERT发布了一个有关存在17年之久的远程代码执行漏洞的公告,该漏洞影响点对点协议守护程序(pppd)软件,几乎影响所有基于Linux的操作系统和网络设备固件。 该漏洞是CVSS评分为9.8的堆栈缓冲区溢出漏洞(CVE-2020-8597)。

CVE-2020-8597:Linux系统pppd远程执行代码漏洞警报

该公告说:

“此漏洞是由于在将提供的数据复制到内存之前验证输入大小时出错。 由于数据大小的验证不正确,因此可以将任意数据复制到内存中并导致内存损坏,从而可能导致执行不需要的代码。

该漏洞在eap解析代码的逻辑中,特别是在eap.c中由网络输入处理程序调用的eap_request() a和 eap_response()函数中。

如果未启用EAP或远程对等方未使用密码或口令协商EAP,则认为pppd不易受攻击是不正确的。 这是由于经过身份验证的攻击者仍然能够发送未经请求的EAP数据包来触发缓冲区溢出。”

受影响版本

  • Point-to-Point Protocol Daemon(pppd) 版本 2.4.2 到 2.4.8

受影响的系统和设备

  • Debian
  • Ubuntu
  • SUSE Linux
  • Fedora
  • NetBSD
  • Red Hat Enterprise Linux
  • Cisco CallManager
  • TP-LINK 
  • OpenWRT Embedded OS
  • Synology (DiskStation Manager, VisualStation, Router Manager)

解决方法

目前,pppd和某些Linux系统已经发布了针对受支持产品的安全补丁,以修复该漏洞。 受影响的用户应尽快安装补丁。

Ubuntu 18.04编译安装RP-PPPoE  见 https://www.linuxidc.com/Linux/2020-03/162557.htm

Linux公社的RSS地址https://www.linuxidc.com/rssFeed.aspx

本文永久更新链接地址https://www.linuxidc.com/Linux/2020-03/162556.htm

linux
相关资讯       CVE-2020-8597  pppd漏洞 
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款