Vulnerabilidad en Flatpak (CVE-2017-9780)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

21/06/2017

Última modificación:

20/04/2025

Descripción

En Flatpak, en versiones anteriores a la 0.8.7, un repositorio de aplicaciones de terceros podría incluir aplicaciones maliciosas que contienen archivos con permisos inadecuados, por ejemplo, setuid o world-writable. Los archivos se despliegan con estos permisos que permitirían que un atacante local abra el ejecutable setuid o escriba en la ubicación modificable por cualquier usuario. En el caso del componente "system helper" los archivos desplegados como parte de la aplicación son propiedad de root, por lo que, en el peor caso, podrían ser setuid root.

Impacto

Vector 3.x

CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.80 ALTA
Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.80

Gravedad 3.x

ALTA

Vector 2.0

AV:L/AC:L/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: AV:L/AC:L/Au:N/C:C/I:C/A:C

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo