发布日期：2004-08-11
更新日期：2004-08-12

受影响系统：

KDE KDE 3.2.2
KDE KDE 3.1.5
KDE KDE 3.1.4
KDE KDE 3.1.3
KDE KDE 3.1.2
KDE KDE 3.1.1a
KDE KDE 3.1.1
KDE KDE 3.1

描述：

---

BUGTRAQ  ID: 10952
CVE(CAN) ID: CVE-2004-0689

KDE是一款免费开放源代码X桌面管理程序。

KDE在部分环境下以不安全方式创建临时文件，本地攻击者可以利用这个漏洞破坏本地系统文件，造成拒绝服务攻击。

KDE在部分环境下杂~/.kde符号链接到临时目录，套接口目录和缓存目录。当用户登录KDE环境中，startkde脚本确保这些符号连接存在并指向用户所属的目录。但是，当用户运行KDE环境外的KDE应用程序或当以另外一用户身份运行KDE应用程序时，这些符号链接的完整性没有任何检查，因此本地攻击者可以建立恶意符号链接以其他用户权限破坏系统文件。

<*来源：KDE
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=109225538901170&w=2
*>

建议：

---

厂商补丁：

KDE
---
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

Patches for KDE 3.0.5b：
ftp://ftp.kde.org/pub/kde/security_patches :

da950a651e69cd810019efce284120fc  post-3.0.5b-kdelibs-kstandarddirs.patch

Patches for KDE 3.1.5：
ftp://ftp.kde.org/pub/kde/security_patches :

c97ab0cf014adb59e315047210316f5d  post-3.1.5-kdelibs-kstandarddirs.patch

Patches for KDE 3.2.3：
ftp://ftp.kde.org/pub/kde/security_patches :
  
345ce2e01cfdfa4754c47894c0271dcc  post-3.2.3-kdelibs-kstandarddirs.patch

浏览次数：2516
严重程度：0（网友投票）