CVE-1999-1461
Publiée le 1997-05-07 · Dernière modification le 2026-06-16
L'utilitaire `inpview` du logiciel InPerson sur les systèmes SGI IRIX ne gère pas de manière sécurisée la variable d'environnement PATH lors du lancement d'un programme auxiliaire. Un utilisateur local disposant d'un accès shell basique peut exploiter cette faille en plaçant un fichier malveillant dans un répertoire qu'il contrôle et en incitant le système à l'exécuter, lui octroyant ainsi les privilèges root complets. Il s'agit d'une attaque locale simple qui ne nécessite aucune authentification particulière ni déclencheur spécifique, si ce n'est la possession d'un compte sur la machine.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
inpview in InPerson on IRIX 5.3 through IRIX 6.5.10 trusts the PATH environmental variable to find and execute the ttsession program, which allows local users to obtain root access by modifying the PATH to point to a Trojan horse ttsession program.