Cuatro vulnerabilidades en Guix

El proyecto GNU Guix ha anunciado tres vulnerabilidades en la utilidad guix substitute, así como una cuarta que afecta a los comandos guix pull y guix time-machine. El impacto de las vulnerabilidades varía desde escalada de privilegios remota hasta divulgación local de archivos sensibles. La explotación remota de guix substitute solo requiere que el sistema vulnerable intente descargar un sustituto binario. Cualquier servidor de sustituto configurado, incluidos los descubiertos utilizando la opción --discover de guix-daemon, puede explotar esto, al igual que un hombre en el medio (MITM), sin importar si se utiliza https en las URL del servidor de sustitutos. La explotación local de guix substitute solo requiere la capacidad de conectarse al socket de guix-daemon, lo cual, por defecto, cualquier usuario puede hacer. Por separado, se identificó otro problema de seguridad (ID de CVE pendiente) en guix pull y guix time-machine, que permite a cualquiera que pueda controlar el archivo de canales utilizado por estos comandos hacer que se cree o sobrescriba un archivo donde el usuario que ejecuta el comando en cuestión tenga permiso para crearlo. El proyecto recomienda que todos los usuarios actualicen guix y guix-daemon de inmediato. Consulte el anuncio para obtener instrucciones, cómo probar las vulnerabilidades, la cronología de divulgación y más.