Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el socket de dominio UNIX en "/run/spice-vdagentd/spice-vdagent-sock" en el manejo de las conexiones de cliente en el demonio de spice-vdagentd (CVE-2020-25652)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
26/11/2020
Última modificación:
07/11/2023

Descripción

Se encontró un fallo en el demonio de spice-vdagentd, donde no manejaba apropiadamente las conexiones de cliente que pueden ser establecidas por medio del socket de dominio UNIX en "/run/spice-vdagentd/spice-vdagent-sock". Cualquier usuario invitado local no privilegiado podría usar este fallo para impedir que agentes legítimos conecten al demonio de spice-vdagentd, resultando en una denegación de servicio. La mayor amenaza de esta vulnerabilidad es la disponibilidad del sistema. Este fallo afecta a spice-vdagent versiones 0.20 y anteriores

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:spice-space:spice-vdagent:*:*:*:*:*:*:*:* 0.20.0 (incluyendo)
cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*