python-xdg‘xdg.BaseDirectory.get_runtime_dir’函数竞争条件漏洞

基本信息

漏洞ID：1164228
漏洞类型：后置链接
发布日期：2014-01-21
更新时间：2017-02-02
CVE编号：CVE-2014-1624
CNNVD-ID：CNNVD-201401-562
漏洞平台：N/A
CVSS评分：3.3

漏洞来源

<a href="https://www.securityfocus.com/bid/65042" target="_blank">https://www.securityfocus.com/bid/65042</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201401-562" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201401-562</a><br/>

漏洞详情

python-xdg是一个用于访问freedesktop.org的Python库标准。python-xdg 0.25版本中的‘xdg.BaseDirectory.get_runtime_dir’函数中存在竞争条件漏洞，该漏洞源于程序以不安全的方式创建‘/tmp/pyxdg-runtime-dir-fallback-victim’临时文件。本地攻击者可通过实施符号链接攻击利用该漏洞覆盖任意文件。

参考资料

来源:XF
名称:pythonxdg-cve20141624-symlink(90618)
链接:http://xforce.iss.net/xforce/xfdb/90618
来源:BID
名称:65042
链接:http://www.securityfocus.com/bid/65042
来源:MLIST
名称:[oss-security]20140121Re:Fwd:[Python-modules-team]Bug#736247:python-xdg:get_runtime_dir(strict=False):insecureuseof/tmp
链接:http://www.openwall.com/lists/oss-security/2014/01/21/4
来源:MLIST
名称:[oss-security]20140121Fwd:[Python-modules-team]Bug#736247:python-xdg:get_runtime_dir(strict=False):insecureuseof/tmp
链接:http://www.openwall.com/lists/oss-security/2014/01/21/3
来源:bugs.debian.org
链接:http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=736247