CVE-2021-3939
Publiée le 2021-11-17 · Dernière modification le 2026-06-17
Les systèmes Ubuntu utilisant les versions affectées de `accountsservice` sont vulnérables à une erreur de corruption de mémoire. Un utilisateur authentifié disposant d'un accès local peut l'exploiter via le système D-Bus pour potentiellement obtenir des privilèges administratifs complets sur la machine. Comme l'attaque nécessite un compte local et présente une complexité d'exécution élevée pour réussir, il ne s'agit pas d'un exploit trivial.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Ubuntu-specific modifications to accountsservice (in patch file debian/patches/0010-set-language.patch) caused the fallback_locale variable, pointing to static storage, to be freed, in the user_change_language_authorized_cb function. This is reachable via the SetLanguage dbus function. This is fixed in versions 0.6.55-0ubuntu12~20.04.5, 0.6.55-0ubuntu13.3, 0.6.55-0ubuntu14.1.