CVE-2017-14604 in Nautilus
Tóm tắt
Bởi VulDB • 24/06/2026
GNOME Nautilus trước phiên bản 3.23.90 cho phép kẻ tấn công giả mạo loại tệp bằng cách sử dụng phần mở rộng tập tin .desktop, như được chứng minh bởi một cuộc tấn công trong đó trường Name của một tệp .desktop kết thúc bằng .pdf nhưng trường Exec của tệp này lại khởi chạy lệnh độc hại "sh -c". Nói cách khác, Nautilus không cung cấp bất kỳ chỉ báo giao diện người dùng (UI) nào cho thấy rằng một tệp thực sự có phần mở rộng .desktop tiềm ẩn rủi ro; thay vào đó, UI chỉ hiển thị phần mở rộng .pdf. Một yếu tố giảm nhẹ (ở mức độ nhất định) là cuộc tấn công yêu cầu tệp .desktop phải có quyền thực thi. Giải pháp là hỏi người dùng xác nhận rằng tệp này dự kiến sẽ được xử lý như một tệp .desktop, sau đó ghi nhớ câu trả lời của người dùng trong trường metadata::trusted.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.