🇰🇷 한글 설명
Slackware Linux 3.2에서 3.5 버전 사이의 login 프로그램이 /etc/group 파일이 없을 때 발생하는 오류를 적절히 처리하지 못하는 취약점입니다. 이로 인해 권한 강하(dropping privileges)가 수행되지 않아, 서버에 로그인하는 모든 로컬 사용자에게 루트(root) 권한이 부여됩니다.
💡 쉬운 설명
시스템 설정 파일이 사라졌을 때 보안 검사를 제대로 하지 못하는 문제입니다. 이 때문에 일반 사용자로 로그인해도 관리자 권한을 갖게 되어 시스템 전체가 위험해질 수 있습니다.
🇺🇸 원문 (English)
login in Slackware Linux 3.2 through 3.5 does not properly check for an error when the /etc/group file is missing, which prevents it from dropping privileges, causing it to assign root privileges to any local user who logs on to the server.
📍 영향받는 시스템
Slackware Linux 3.2 ~ 3.5
⚔️ 공격 벡터
로컬 사용자가 로그인 시도를 통해 시스템의 권한 관리 메커니즘을 우회하여 루트 권한을 획득
🛡️ 대응 방법
Slackware Linux를 최신 보안 패치가 적용된 버전으로 업데이트하거나 /etc/group 파일의 존재와 권한을 확인합니다.
🔧 검증 코드
/etc/group 파일이 존재하지 않거나, 로그인 후 id 명령어를 실행했을 때 일반 사용자가 uid=0(root)를 가지는지 확인합니다.
📊 CVSS Vector String
AV:L/AC:L/Au:N/C:C/I:C/A:C
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux