Looney Tunables (CVE-2023-4911).

glibc 动态加载器中由 GLIBC_TUNABLES 环境变量触发的缓冲区溢出漏洞,可在许多 Linux 发行版上获得本地 root。 它属于网络安全的 漏洞 分类。

glibc 动态加载器中由 GLIBC_TUNABLES 环境变量触发的缓冲区溢出漏洞,可在许多 Linux 发行版上获得本地 root。

Looney Tunables 是 Qualys 于 2023 年 10 月披露的 GNU C Library(glibc)动态加载器 ld.so 漏洞,编号 CVE-2023-4911。漏洞在于解析 GLIBC_TUNABLES 环境变量时的缓冲区溢出,该变量在 glibc 2.34 中被引入。由于 ld.so 在启动 SUID 二进制时以高权限运行,本地无特权攻击者可构造恶意 GLIBC_TUNABLES 值,运行任意 SUID 程序(如 su)并获得 root。受影响的默认安装包括 Fedora 37/38、Ubuntu 22.04/23.04 以及 Debian 12 和 13。缓解方法是升级 glibc 到已修补版本。

针对 Looney Tunables (CVE-2023-4911) 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: CVE-2023-4911, GLIBC_TUNABLES 溢出。