- Son 7 gün
- CWE-78
CVE-2026-123784
Fluxbox 1.3.7 ve öncesinde stil arka plan değerleri üzerinden işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, masaüstü ortamında kullanılan bir pencere yöneticisinde bulunuyor ve kötü niyetli bir tema dosyası aracılığıyla sistem komutlarının çalıştırılmasına olanak tanıyor. Risk, saldırganın kullanıcıyı kandırarak zararlı bir tema yüklemesine bağlıdır; bu nedenle orta öncelikli ama dikkate alınması gereken bir durumdur. Kullanıcıların yalnızca güvenilir kaynaklardan tema kullanması önemlidir.
ÖzetTürkçe
Fluxbox pencere yöneticisinin 1.3.7 ve öncesi sürümlerinde, RootTheme::reconfigTheme fonksiyonu stil arka plan değerlerini filtrelemeden bir fbsetbg komutuna eklemektedir. Saldırgan; arka plan piksmap yollarına, rastgele dizin adlarına veya gradyan doku metnine kabuk meta karakterleri yerleştirebilir. Bu komut, stil yüklendiğinde $SHELL -c ile çalıştırıldığı için zararlı girdi sistem komutu olarak yürütülür. Etki, yerel erişimi olan ve stil dosyasını değiştirebilen veya yükleyebilen kullanıcılarla sınırlıdır.
Saldırgan ne yapabilir?
Saldırgan, stili yükleyen kullanıcının yetkileriyle keyfi işletim sistemi komutları çalıştırabilir; bu da gizli verilere erişim, verilerin değiştirilmesi veya hizmetin kesilmesi anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
Fluxbox through 1.3.7 contains an OS command injection vulnerability in RootTheme::reconfigTheme() that allows attackers to execute commands via crafted style background values. Attackers can embed shell metacharacters in background pixmap paths, random directories, or gradient texture text, which are concatenated unescaped into an fbsetbg command run via $SHELL -c when the style loads.
Ne yapmalı?
- Fluxbox 1.3.7 ve öncesi sürümler etkilenmektedir. Sağlayıcının yayımladığı düzeltilmiş bir sürüm bu veri setinde belirtilmediği için, resmi kaynaklardan en güncel sürümün kurulup kurulmadığı kontrol edilmelidir. Genel öneri
- Düzeltme bulunana kadar güvenilmeyen kaynaklardan indirilen veya başkalarından alınan stil ve tema dosyaları kullanılmamalıdır. Genel öneri
- Mevcut stil dosyalarında arka plan, gradyan veya dizin değerlerinde beklenmeyen kabuk karakterleri olup olmadığı incelenmelidir. Genel öneri
- Fluxbox'ı kullanan hesaplarda stil dosyalarının yazma izinleri, yalnızca ilgili kullanıcıyla sınırlandırılmalıdır. Genel öneri
Ek önlemler
- Stil dosyalarındaki değişiklikleri izlemek ve beklenmedik değişiklikleri incelemek için dosya bütünlüğü denetimi uygulayın. Genel öneri
- Yönetilen ortamlarda ayrıcalıklı hesaplarla masaüstü oturumu açmaktan kaçının ve en az yetki ilkesini uygulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| fluxbox | ≤ 1.3.7 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/fluxbox/fluxbox/pull/89 Yama
- github.com/…ommit/270bfbc28573037c9b8458488d193b219e33889f Yama
- vulncheck.com/…-command-injection-via-style-background-values Üçüncü taraf
- github.com/fluxbox/fluxbox Diğer
- github.com/…ox/fluxbox/blob/Release-1_3_7/src/RootTheme.cc Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.