涉及程序： KDE 3.0.4 及之前版本 描述： KDE参数引用SHELL指令远程执行缺陷 详细： KDE是一款源代码免费开放的X桌面管理程序，用于Unix和Linux系统。 KDE不安全处理某些类型输入，不正确引用命令参数传递给命令行SHELL，远程攻击者可以利用这个缺陷以用户进程权限执行任意指令。 在某些环境下，KDE不正确引用传递SHELL执行的命令参数，这些参数可以为一些混合数据，如URL，文件名和EMAIL地址，这些数据可以通过发送EMAIL给远程用户，利用WEB页面诱使用户打开或网络文件系统，不可信资源中的文件中传递。 通过精心构建这些数据，攻击者可以以目标用户权限在系统上执行任意指令。 受影响系统： KDE 3.0.4 及之前版本 攻击方法： 暂无有效攻击代码 解决方案： KDE已经为此发布了一个安全公告（KDE-20021220-1）以及相应补丁: KDE-20021220-1：Multiple vulnerabilities in KDE 链接：http://www.kde.org/info/security/advisory-20021220-1.txt 针对KDE 3.0系统KDE建议用户升级KDE到3.0.5a版本： http://download.kde.org/stable/3.0.5a 针对KDE 2系统，请下载补丁程序，如果需要两进制程序请联系OS供应商： ftp://ftp.kde.org/pub/kde/security_patches MD5SUM PATCH 522331e2b47f84956eb2df1fcf89ba17 post-2.2.2-kdebase.diff 0dbd747882b942465646efe0ba6af802 post-2.2.2-kdegames.diff 4b9c93acd452d1de2f4f0bca5b05593f post-2.2.2-kdegraphics.diff 93a12594d0fb48c7b50bfd4a10a9935d post-2.2.2-kdelibs.diff d1d25b39ee98e340ac3730f7afe54f0c post-2.2.2-kdemultimedia.diff 59ac7be4995bed8b119a4e5882e54cff post-2.2.2-kdenetwork.diff 0a3ae9eeeceefb2f631a26ec787663a9 post-2.2.2-kdepim.diff 690c7fdab1bbc743eafac9b06997a03b post-2.2.2-kdesdk.diff 8174e328f47e18a8a52b13b34f5c54e5 post-2.2.2-kdeutils.diff