FICHE CVE

CVE-2019-7307

Publiée le 2019-08-29 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les systèmes Ubuntu utilisant l'outil de rapport d'erreurs Apport sont concernés. Un utilisateur local disposant d'un accès compte basique peut tromper le système pour lui faire lire des fichiers sensibles auxquels il ne devrait pas avoir accès, en remplaçant un fichier de configuration par un lien symbolique. Bien que cela permette le vol de fichiers système arbitraires, l'exécution est difficile et nécessite que l'attaquant dispose déjà d'un accès local au shell.

CVSS 3.17.0 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2019-08-29

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueÉlevée

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Apport before versions 2.14.1-0ubuntu3.29+esm1, 2.20.1-0ubuntu2.19, 2.20.9-0ubuntu7.7, 2.20.10-0ubuntu27.1, 2.20.11-0ubuntu5 contained a TOCTTOU vulnerability when reading the users ~/.apport-ignore.xml file, which allows a local attacker to replace this file with a symlink to any other file on the system and so cause Apport to include the contents of this other file in the resulting crash report. The crash report could then be read by that user either by causing it to be uploaded and reported to Launchpad, or by leveraging some other vulnerability to read the resulting crash report, and so allow the user to read arbitrary files on the system.