Dstat sys.path搜索路径本地权限提升漏洞

Dstat sys.path搜索路径本地权限提升漏洞 影响版本:
Dag Wieërs dstat 0.6.9漏洞描述:
BUGTRAQ  ID: 37131
CVE(CAN) ID: CVE-2009-3894,CVE-2009-4081

Dstat是vmstat、iostat和netstat工具的多功能替代品，可用于性能调节测试、基准和故障排除等方面。

dstat在sys.path中包含有当前工作目录和profile子目录。如果本地用户在安全者可写的目录（如/tmp）中运行了dstat且安全者在该目录中放置了某些Python模块（如getopt.py），就可以导致以运行dstat用户的权限执行任意代码。<*参考 
Robert Buchholz （rbu@gentoo.org）

链接：https://bugzilla.redhat.com/show_bug.cgi?format=multiple&id=538459
http://bugs.gentoo.org/show_bug.cgi?format=multiple&id=293497
https://www.redhat.com/support/errata/RHSA-2009-1619.html
http://security.gentoo.org/glsa/glsa-200911-04.xml
*>
安全建议:
厂商补丁：

RedHat
------
RedHat已经为此发布了一个安全公告（RHSA-2009:1619-01）以及相应补丁:
RHSA-2009:1619-01：Moderate: dstat security update
链接：https://www.redhat.com/support/errata/RHSA-2009-1619.html

Gentoo
------
Gentoo已经为此发布了一个安全公告（GLSA-200911-04）以及相应补丁:
GLSA-200911-04：dstat: Untrusted search path
链接：http://security.gentoo.org/glsa/glsa-200911-04.xml

所有dstat用户都应升级到最新版本：

# emerge --sync
# emerge --ask --oneshot --verbose ">=sys-apps/dstat-0.6.9-r1"

Dag Wie&euml;rs
---------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://dag.wieers.com/home-made/dstat/dstat-0.7.0.tar.bz2