DSA-4494-1 kconfig -- обновление безопасности

Высокая (5.1)

(AV:N/AC:H/Au:N/C:P/I:P/A:P)

Debian

libkf5config-bin (any) libkf5config-bin-dev (any) libkf5configcore5 (any) libkf5config-data (any) libkf5config-dev (any) libkf5config-dev-bin (any) libkf5config-doc (any) libkf5configgui5 (any)

Доминик Пеннер обнаружил, что KConfig, платформа для настройки для
KDE, поддерживает возможность определения команд для исполнения в
файлах .desktop. Если пользователь получил специально сформированный файл
.desktop (напр., если он встроен в скачиваемый архив, а затем открывается в
просмотрщике файлов), то из-за этой возможности могут быть выполнены произвольные
команды. Данное обновление убирает эту возможность.
В предыдущем стабильном выпуске (stretch) эта проблема была исправлена
в версии 5.28.0-2+deb9u1.
В стабильном выпуске (buster) эта проблема была исправлена в
версии 5.54.0-1+deb10u1.
Рекомендуется обновить пакеты kconfig.
С подробным статусом поддержки безопасности kconfig можно ознакомиться на
соответствующей странице отслеживания безопасности по адресу
https://security-tracker.debian.org/tracker/kconfig">https://security-tracker.debian.org/tracker/kconfig">https://security-tracker.debian.org/tracker/kconfig

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
libkf5config-bin - 5.28.0-2+deb9u1
libkf5config-bin-dev - 5.28.0-2+deb9u1
libkf5config-data - 5.28.0-2+deb9u1
libkf5config-dev - 5.28.0-2+deb9u1
libkf5configcore5 - 5.28.0-2+deb9u1
libkf5configgui5 - 5.28.0-2+deb9u1
Debian GNU/Linux 1:
noarch:
libkf5config-bin - 5.54.0-1+deb10u1
libkf5config-data - 5.54.0-1+deb10u1
libkf5config-dev - 5.54.0-1+deb10u1
libkf5config-dev-bin - 5.54.0-1+deb10u1
libkf5config-doc - 5.54.0-1+deb10u1
libkf5configcore5 - 5.54.0-1+deb10u1
libkf5configgui5 - 5.54.0-1+deb10u1

http://www.debian.org/security/dsa-4494/

Источник: CVE
Наименование: CVE-2019-14744
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-14744