| 漏洞类型 | 权限管理不当 | 发现时间 | 2025-06-19 | 漏洞等级 | 高危 |
| MPS编号 | MPS-mqf0-usbi | CVE编号 | CVE-2025-6019 | 漏洞影响广度 |
漏洞危害
| OSCS 描述 |
| libblockdev 是 Linux 上用于块设备管理的底层库，提供统一接口支持分区、文件系统、LVM 和加密等操作。udisks 是基于 D-Bus 的服务，封装调用 libblockdev 等工具，为桌面环境和应用程序提供挂载、格式化等存储管理功能。 受影响版本中，libblockdev 在挂载磁盘分区时遗漏 nosuid 安全标志，导致可在挂载点执行具备特殊权限（如 root 权限）的文件。攻击者拥有 allow_active 权限时，可利用该缺陷挂载恶意文件并执行，进而获取 root 权限。 由于libblockdev默认在较多Linux发行版中提供，该漏洞影响 Ubuntu、Debian、Fedora、openSUSE 等主流发行版，但由于allow_active 权限限制，通常难以单独利用，在SUSE系统中可结合CVE-2025-6018漏洞可将ssh远程低权限用户提升为allow_active用户实现远程利用。 修复版本通过弃用系统默认挂载选项，显式添加 nosuid 和 nodev，防止本地提权漏洞。 参考链接：https://www.oscs1024.com/hd/MPS-mqf0-usbi |
影响范围及处置方案
OSCS 平台影响范围和处置方案
| 影响范围 | 处置方式 | 处置方法 |
| libblockdev (-∞, 2.30) | 升级 | 将组件 libblockdev 升级至 2.30 及以上版本 |
| libblockdev [3.0, 3.2.2) | 升级 | 将组件 libblockdev 升级至 3.2.2 及以上版本 |
| libblockdev [3.3.0, 3.3.1) | 升级 | 将组件 libblockdev 升级至 3.3.1 及以上版本 |
| 参考链接：https://www.oscs1024.com/hd/MPS-mqf0-usbi | ||
排查方式
| 方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html |
| 方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html |
| 方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html |
| 更多排查方式：https://www.murphysec.com/docs/faqs/integration/ |
本文参考链接
https://www.oscs1024.com/hd/MPS-mqf0-usbi
https://github.com/storaged-project/libblockdev/commit/4e35eb93e4d2672686789b9705623cc4f9f85d02
