Looney Tunables 漏洞曝光，主流 Linux 发行版均受影响

IT之家 10 月 6 日消息，名为 Looney Tunables 的漏洞近日曝光，追踪编号为 CVE-2023-4911，包括 Debian 12/13、Ubuntu 22.04/23.04 和 Fedora 37/38 在内的主流 Linux 发行版均受到影响。

IT之家注：该漏洞存在于 GNU C 库动态加载程序中，本地攻击者利用该漏洞制造缓冲区溢出，可以获得 root 权限。

攻击者可以使用由 ld.so 动态加载程序制作的 GLIBC_TUNABLES 环境变量触发，使用 SUID 权限安装文件时候，能以 root 权限执行任意代码。

Qualys 于周二披露该漏洞，几位安全研究人员已经发布了适用于某些系统配置的概念验证 (PoC) 漏洞利用代码。

独立安全研究员 Peter Geissler (blasty) 今天早些时候发布了 PoC 代码，并确认可以攻击 Linux 发行版。