麒麟软件有限公司产品存在多个漏洞预警
1、基本情况
近日，监测发现麒麟软件有限公司产品存在多个漏洞。经验证，在低权限、受限制的账户环境下，利用该漏洞，可非法获取操作系统的最高权限，进而完全控制系统。
对此，建议广大用户做好资产自查以及预防工作，以免遭受黑客攻击。
2、影响范围
受影响版本
l 麒麟桌面操作系统
l 麒麟服务器操作系统
3、漏洞描述
l ksc-defender 安全漏洞
D-Bus 服务的 com.ksc.defender 接口，其中的set_networkModeConfig 方法存在命令注入漏洞。
l kylin-ipmsg 安全漏洞
麒麟桌面传书 APP，其中 TcpModule::recvFile 函数存在路径穿越漏洞。
l kylin-log-viewer 安全漏洞
D-Bus 服务的 com.kylin.logview 接口，其中的redirection_logFileProcess、unlink_logFileProcess 函数存在命令注入漏洞。
l ukui-control-center 安全漏洞
D-Bus 服务的 com.control.center.qt.systemdbus 接口，其中的 copyFile 方法允许以 root 权限向任意目录拷贝文件。
l youker-assistant 安全漏洞
kylin 工具箱 com.kylin.assistant.systemdaemon 接口，其中的 disableAudioAdaptor 函数存在命令注入漏洞。
l Linux 内核提权漏洞（CVE-2020-8835）
bpf 验证程序没有正确计算一些特定操作的寄存器范围，导致寄存器边界计算不正确，进而引发越界读取和写入。
l kysec-sync-daemon 组件命令执行
kysec-sync-daemon 组件中，libkysec_adv.so 中的parse_file_type 函数存在命令注入漏洞。
4、处置建议
根据影响版本中的信息，排查并升级到安全版本，或直接访问参考链接获取官方更新指南。
https://kylinos.cn/support/loophole/patch.html
https://kylinos.cn/support/loophole/cve.html
5、参考链接
1) https://kylinos.cn/support/loophole/patch.html
2) https://kylinos.cn/support/loophole/cve.html