阅读： 0

该漏洞源于KDesktopfile类在处理.desktop、.directory文件或配置文件时存在缺陷。攻击者可以创建恶意的该类型文件，用户在使用KDE file viewer浏览这些文件时就可触发漏洞，导致恶意文件中的代码执行，无需用户的交互操作。

综述

近日，有安全人员在Twitter上披露了一个关于KDE Framewors的命令执行漏洞。该漏洞源于KDesktopfile类在处理.desktop、.directory文件或配置文件时存在缺陷。攻击者可以创建恶意的该类型文件，用户在使用KDE file viewer浏览这些文件时就可触发漏洞，导致恶意文件中的代码执行，无需用户的交互操作（例如执行文件）。

参考链接：

https://twitter.com/zer0pwn/status/1158433002239746048

https://kde.org/info/security/advisory-20190807-1.txt

受影响版本

• KDE kconfig < 5.61.0

不受影响版本

• KDE kconfig >= 5.61.0

解决方案

KDE官方已经在新版本中彻底移除了造成上述漏洞的相关功能，用户应尽快升级进行防护。

同时，使用KDE Frameworks 5的用户还可以自行利用以下补丁进行修复：

https://cgit.kde.org/kconfig.git/commit/?id=5d3e71b1d2ecd2cb2f910036e614ffdfc895aa22

使用kedlibs的用户可以利用以下补丁进行修复：

https://cgit.kde.org/kdelibs.git/commit/?id=2c3762feddf7e66cf6b64d9058f625a715694a00

声 明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

关于绿盟科技

北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。

基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。

北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：绿盟科技，股票代码：300369。