Уязвимость в tuned позволяет выполнять код с правами root

В системном процессе tuned от Red Hat выявлена уязвимость (CVE-2024-52336), которая позволяет локальному пользователю, не проходя авторизацию, запускать команды от имени root. Основная проблема кроется в DBus-методе «com.redhat.tuned.instance_create», который позволяет передавать скрипты «script_pre» и «script_post». В связи с настройками Polkit любой локальный пользователь может без аутентификации отправлять запросы к этому методу и, как следствие, запускать указанные скрипты с привилегиями root. Кроме того, имеется менее критичная уязвимость (CVE-2024-52337), вызванная тем, что имя экземпляра плагина не очищается перед записью в лог, что может быть использовано для внедрения вредоносных данных.

Эти уязвимости наблюдаются начиная с версии tuned 2.23 (выпущена в начале июня 2024 года) и были исправлены в версии 2.24.1. Уязвимости устранены в дистрибутивах RHEL 9, Fedora 40, Arch Linux и Gentoo. В стабильных сборках Ubuntu, Debian и SUSE/openSUSE отсутствуют, поскольку там используются более ранние версии tuned (<2.23).