Lomiri Download Manager: Fehlerhafte DBus-Richtlinie erlaubt lokales Lesen als root
Zusammenfassung
Eine fehlerhafte DBus-Richtlinie erlaubt jedem lokalen Benutzer den Zugriff auf die Systembus-Instanzen von lomiri-download-manager und lomiri-upload-manager. Der Download-Manager kann dadurch nach einem Download beliebige Befehle als root ausführen, und der Upload-Manager kann beliebige Dateien als root lesen und an einen vom Angreifer kontrollierten Server senden. Der Angreifer benötigt lokalen Zugriff sowie ein Konto oder eine App auf dem Gerät, und die meisten Apps auf Ubuntu Touch sind durch AppArmor eingeschränkt, was das Risiko begrenzt.
Betroffen
- lomiri-download-manager bis und mit 0.3.2 (Herstellerhinweis; der CVE-Eintrag nennt den Bereich 0.1.0 bis unter 0.3.3)
- Ubuntu Touch bis und mit 24.04-1.4 und 24.04-2.0
Behoben in
- lomiri-download-manager 0.3.3 (veröffentlicht am 13. September 2026)
- Ubuntu Touch 24.04-2.1 und 24.04-1.5
- Fix-Commit 779dfd5bbeb5fe8877627b772e5024e40eda38aa
Umgehung
- Für andere Distributionen ist keine Workaround-Massnahme dokumentiert.
- Der Herstellerfix sperrt die systemweiten Dienste mit einer DBus-Richtlinie und deaktiviert die Ausführung von Befehlen nach dem Download im systemweiten Download-Manager.
- Auf Ubuntu Touch nur Apps von vertrauenswürdigen Herausgebern installieren, insbesondere uneingeschränkte Apps.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in der Praxis gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- lomiri-download-manager auf 0.3.3 oder neuer aktualisieren oder das gepatchte Paket Ihrer Distribution installieren.
- Auf Ubuntu Touch auf 24.04-2.1, 24.04-1.5 oder neuer aktualisieren.
- Prüfen, ob Ubuntu-Touch-Geräte oder Lomiri-Desktop-Installationen im Einsatz sind; falls nicht, sind keine weiteren Massnahmen nötig.
- Nur Anwendungen aus vertrauenswürdigen Quellen installieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- UBports security advisory forums.ubports.com
- Fix commit 779dfd5 gitlab.com
- Upstream work item 18 gitlab.com
- Ubuntu security tracker ubuntu.com
- OSV record osv.dev
- NVD mirror (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:51.
Referenzen der NVD (3)
- https://forums.ubports.com/topic/12671/security-advisory-arbitrary-root-command-execution-and-unauthenticated…
- https://gitlab.com/ubports/development/core/lomiri-download-manager/-/commit/779dfd5bbeb5fe8877627b772e5024e4…
- https://gitlab.com/ubports/development/core/lomiri-download-manager/-/work_items/18
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.