Microsoft нашла в библиотеке ncurses уязвимости, влияющие на Linux и macOS
Эксперты
Microsoft Threat Intelligence обнаружили в библиотеке
ncurses ряд ошибок, связанных с повреждением целостности информации памяти. Эти проблемы могут применяться для запуска вредоносного кода в уязвимых системах под управлением Linux и macOS.
Найденные баги получили общий идентификатор
CVE-2023-29491 и набрали
7,8 бала по шкале
CVSS. Уязвимости были устранены по состоянию на апрель 2023 года, и
Microsoft сообщает, что помогала
Apple с решением проблем, связанных с этими багами и характерными для macOS.
Исследователи напоминают, что переменные окружения — это определяемые пользователем значения, которые могут использоваться несколькими программами в системе и влиять на их поведение. То есть манипуляции с переменными могут вынудить приложения выполнять несанкционированные операции.
В ходе аудита, который
Microsoft проводила с использованием
фаззинга, было замечено, что библиотека
ncurses ищет ряд переменных окружения, в том числе
TERMINFO, которые могут быть «отравлены», использованы для повышения привилегий и не только.
