Timeshift 竞争条件问题漏洞

漏洞介绍

Timeshift是一款Linux系统还原工具。该产品支持创建文件系统快照，并提供快照恢复等功能。

Timeshift 20.03之前版本中存在安全漏洞，该漏洞源于TeeJee.FileSystem.vala文件的‘init_tmp’函数在可预测的/tmp/timeshift位置重用了之前存在的临时路径。攻击者可利用该漏洞以root权限执行其控制的脚本。

漏洞补丁

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：

https://github.com/teejee2008/timeshift

参考网址

来源:MLIST

链接：http://www.openwall.com/lists/oss-security/2020/03/06/3

来源:MISC

链接：https://github.com/teejee2008/timeshift/releases/tag/v20.03

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/AAOFXT64CEUMJE3723JDJWTEQWQUCYMD/

来源:MISC

链接：https://bugzilla.suse.com/show_bug.cgi?id=1165802

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/TXXYQFSZ5P6ZMNFIDBAQKBFZIR2T7ZLL/

来源:FEDORA

链接：https://lists.fedoraproject.org/archives/list/[email protected]/message/SXDEPC52G46U6I7GLQNFLZXVSM7V2HYY/

来源:MISC

链接：https://github.com/teejee2008/timeshift/commit/335b3d5398079278b8f7094c77bfd148b315b462

来源:www.auscert.org.au

链接：https://www.auscert.org.au/bulletins/ESB-2020.1104/

来源:packetstormsecurity.com

链接：https://packetstormsecurity.com/files/156970/Ubuntu-Security-Notice-USN-4312-1.html

来源:vigilance.fr

链接：https://vigilance.fr/vulnerability/Timeshift-file-corruption-via-tmp-timeshift-31906

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202003-208