Négy sebezhetőség a Guix-ben

A GNU Guix projekt bejelentette a guix substitute segédprogramban található három sebezhetőséget, valamint egy negyediket, amely a guix pull és a guix time-machine parancsokat érinti. A sebezhetőségek hatása a távoli jogosultság-emeléstől a helyi érzékeny fájlok nyilvánosságra hozataláig terjed. A guix substitute távoli kihasználásához csak annyira van szükség, hogy a sebezhető rendszer megpróbáljon letölteni egy bináris helyettesítőt. Bármely konfigurált helyettesítő szerver, beleértve azokat is, amelyeket a guix-daemon --discover opciójával fedeztek fel, kihasználhatja ezt, és ezt egy közbeékelődő (MITM) is megteheti, függetlenül attól, hogy a helyettesítő szerver url-jeiben használnak-e https-t. A guix substitute helyi kihasználásához csak annyira van szükség, hogy kapcsolatba lépjünk a guix-daemon socket-jével, amit alapértelmezés szerint bármely felhasználó megtehet. Külön említést érdemel, hogy egy másik biztonsági probléma (CVE azonosító várakozás alatt) került azonosításra a guix pull és a guix time-machine esetében, amely lehetővé teszi bárki számára, aki irányítja a parancsokhoz használt csatornafájlt, hogy fájlt hozzon létre vagy felülírjon, ahol a parancsot futtató felhasználónak joga van azokat létrehozni. A projekt javasolja, hogy minden felhasználó azonnal frissítse a guix-et és a guix-daemon-t. Lásd a bejelentést az utasításokért, a sebezhetőségek tesztelésének módjáért, a nyilvánosságra hozatal idővonaláért és egyéb részletekért.