Plateforme
linux
Composant
lastore-daemon
Corrigé dans
0.9.54
0.9.67
Une vulnérabilité d'élévation de privilèges a été découverte dans lastore-daemon, le démon du gestionnaire de paquets système utilisé dans Deepin Linux. Cette faille permet à un utilisateur du groupe sudo d'exécuter du code arbitraire sur le système. Elle affecte les versions 0.9.53-1 (Deepin 15.5) et 0.9.66-1 (Deepin 15.7). Une mise à jour du système est nécessaire pour corriger cette vulnérabilité.
Cette vulnérabilité permet à un attaquant local ayant un accès shell et faisant partie du groupe sudo d'exploiter lastore-daemon pour obtenir des privilèges root. L'attaquant peut créer un paquet .deb malveillant contenant un script post-installation, puis utiliser la commande dbus-send pour installer ce paquet via lastore-daemon. Le script post-installation s'exécutera alors avec les privilèges root, permettant à l'attaquant de prendre le contrôle du système. Le risque est exacerbé par le fait que le premier utilisateur créé sur Deepin est généralement ajouté au groupe sudo, ce qui facilite l'exploitation de cette faille. Une exploitation réussie pourrait permettre la modification de fichiers système, l'installation de logiciels malveillants, ou l'accès à des données sensibles.
Cette vulnérabilité a été rendue publique le 23 juillet 2025. Il n'y a pas d'indication d'une exploitation active à grande échelle à ce jour. La vulnérabilité est présente dans les versions Deepin 15.5 et 15.7, qui pourraient être encore utilisées dans certains environnements. Bien qu'il n'y ait pas de preuve d'exploitation, la simplicité de l'exploitation et la présence de nombreux systèmes Deepin potentiellement vulnérables justifient une attention particulière.
Deepin Linux users running versions 0.9.53-1 through 0.9.66-1 are at risk. Specifically, systems where the first user created is a member of the sudo group are particularly vulnerable, as this user will have the necessary privileges to exploit the vulnerability. Shared hosting environments utilizing Deepin Linux and allowing user-installed packages are also at increased risk.
• linux / server:
journalctl -u lastore-daemon | grep -i "dbus-send"• linux / server:
ps aux | grep lastore-daemon• linux / server:
ls -l /usr/bin/dbus-send• linux / server:
find / -name "lastore-daemon.conf" -printdisclosure
Statut de l'Exploit
EPSS
1.38% (percentile 80%)
CISA SSVC
La mitigation principale consiste à mettre à jour lastore-daemon vers une version corrigée via le gestionnaire de paquets de Deepin. Si la mise à jour est problématique, une solution temporaire pourrait consister à restreindre l'accès au D-Bus pour lastore-daemon, en modifiant les règles de configuration D-Bus pour exiger une authentification pour l'appel de la méthode InstallPackage. Il est également recommandé de vérifier régulièrement les membres du groupe sudo et de supprimer tout utilisateur non autorisé. Après la mise à jour, vérifiez que la méthode InstallPackage nécessite une authentification en utilisant dbus-send --session --dest=org.deepin.lastore /org/deepin/lastore/InstallPackage string:package_name et assurez-vous qu'elle requiert un mot de passe.
Actualizar lastore-daemon a una versión corregida que elimine la posibilidad de ejecutar comandos arbitrarios a través de la instalación de paquetes .deb sin autenticación. Verificar la configuración de D-Bus para asegurar que se requiere autenticación para métodos sensibles como InstallPackage. Revisar los permisos de los usuarios en el grupo sudo para limitar el acceso a métodos D-Bus.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2016-15045 is a privilege escalation vulnerability in lastore-daemon, Deepin Linux's package manager daemon. It allows users in the sudo group to bypass authentication and potentially gain root access.
You are affected if you are running Deepin Linux with lastore-daemon versions 0.9.53-1 through 0.9.66-1 and have users in the sudo group.
Upgrade to a patched version of lastore-daemon. As no specific fixed version is provided, consider restricting D-Bus access and tightening sudo group membership until a patch is available.
There is currently no confirmed evidence of active exploitation, but the vulnerability's simplicity suggests it could be targeted in the future.
Refer to Deepin Linux's official security advisories and release notes for updates regarding this vulnerability.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.