CVE-2017-7435
libzypp accepts unsigned 3rd party repo without warning
En resumen
libzypp permitía agregar repositorios YUM sin verificar su autenticidad, lo que podría permitir a atacantes inyectar software malicioso sin advertencia al usuario.
Detalle técnico
libzypp anterior a la versión 20170803 aceptaba repositorios YUM sin firma sin verificación criptográfica ni notificación al usuario. Un atacante podría ejecutar un ataque de intermediario o comprometer un servidor de repositorio para inyectar paquetes RPM maliciosos, ya que el gestor de paquetes carecía de validación de firmas y advertencias para repositorios sin firmar.
Resumen generado y traducido por IA a partir de la descripción oficial.
In libzypp before 20170803 it was possible to add unsigned YUM repositories without warning to the user that could lead to man in the middle or malicious servers to inject malicious RPM packages into a users system.
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
SUSE · libzypp¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →