上周，Linux社区正在积极讨论 Looney Tunables 漏洞 ，该漏洞的漏洞在 该漏洞公开披露后不久就被发布 。

现在， Linux 中发现了一个 与 libcue 开源库中的内存损坏相关的新漏洞。它可以允许攻击者在运行GNOME桌面环境的 Linux 系统上执行任意代码。

Libcue 是一个设计用于分析CUE文件的库，集成到Tracker Miners文件元数据索引器中，默认情况下包含在最新版本的 GNOME 中。

GNOME 是各种 Linux 发行版使用的流行桌面环境，包括 Debian、Ubuntu、Fedora、Red Hat Enterprise 和 SUSE Linux Enterprise。

攻击者可以利用这个在CVE-2023-43641 下跟踪的缺陷 ，通过使用 Tracker Miners 的自动索引器更新运行 GNOME 的设备上的搜索索引来执行恶意代码。

“由于 Tracker Miners 中的使用方式，libcue 中的此漏洞变成了一键式RCE。如果您使用 GNOME，请立即更新。” 发现该漏洞的 GitHub安全研究员 Kevin Backhouse于 10 月 9 日表示。

Backhouse 在视频中展示了他的PoC漏洞，但是该漏洞的公开发布将被推迟，以便让所有 GNOME 用户有时间更新和保护他们的系统 。

尽管该漏洞需要进行一些调整才能在每个 Linux 发行版上正常工作，但研究人员表示，他已经针对 Ubuntu 23.04 和 Fedora 38 平台调整了自己的创作。Backhouse 表示，该漏洞在这些平台上运行“非常可靠”。

虽然成功利用 CVE-2023-43641 需要诱骗潜在受害者下载并激活恶意 CUE 文件，但我们鼓励管理员尽快修补系统并减轻与此安全缺陷相关的风险。该漏洞允许在运行广泛使用的 Linux 发行版最新版本（包括 Debian、Fedora 和 Ubuntu）的设备上执行代码，这可不是开玩笑。

不管怎样，保护解决方案已经存在是件好事，并且它可供易受攻击的发行版的每个用户使用，请尽快更新环境以保护数据。

---

转自安全客，原文链接：https://www.anquanke.com/post/id/290693

封面来源于网络，如有侵权请联系删除