聚焦源代码安全，网罗国内外最新资讯！
编译：奇安信代码卫士团队
发现该漏洞的是安全研究员 robo2bobo 的两个孩子。他在 GitHub 上提交的漏洞报告中指出，“几周前，俩孩子想 hack 我的 Linux 桌面，所以就到处乱按，而我就站在他们身旁，看着他们玩。”
漏洞报告指出，这俩孩子在物理键盘和虚拟键盘上按了几个随机键，最终导致 Linux Mint 屏保崩溃，进而获得访问桌面的权限。robo2bobo 指出，“我以为这只是个例，但最终他们再次设法获得成功。”
Linux Mint 的首席开发工程师 Clement Lefebvre 指出，上述问题最终追溯到 Linux Mint 所使用桌面接口 Cinnamon 配备的屏幕键盘 (OSK) 组件 libcaribou。更确切地说，当用户按下屏幕键盘上的 "ē" 键时就会触发该漏洞。但在大多数情况下，该 bug 会导致 Cinnamon 桌面进程崩溃，如果屏幕键盘是从屏保打开的，则会导致屏保崩溃，使用户访问底层桌面。
Lefebvre 表示，当项目在去年10月修复了另外一个漏洞 CVE-2020-25712 时，Linux Mint 就引入了该漏洞。之后，所有使用 Cinnamon 版本4.2 及后续版本的 Linux Mint 版本均易受该绕过影响。从 Cinnamon 4.2 开始，屏保页面中就加入了屏幕键盘。
本周，Linux Mint 发布补丁修复了该漏洞并阻止未来崩溃情况的发生。Lefebvre 表示，Linux Mint 项目目前正在增加使用户禁用屏幕键盘的设置，使得在补丁可用前可更轻松地缓解该组件中的更多 bug。
https://www.zdnet.com/article/linux-mint-fixes-screensaver-bypass-discovered-by-two-kids/
题图：Pixabay License
本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~