fish 3.6.2 и 3.6.3 с корекция на CVE-2023-49284

Състоя се корективно издание 3.6.2 на интерактивната командна черупка fish с поправка на уязвимостта CVE-2023-49284.

fish shell използва някои символи Unicode за вътрешно маркиране на заместители и разширения. Този неправилен подход позволяваше да се четат тези символи в изхода на заместването на команди, вместо да ги преобразува в безопасно вътрешно представяне.

Въпреки че това може да предизвика неочаквано поведение при директен вход (например, echo UFDD2HOME има същия изход като echo $HOME), това може да стане малък проблем за сигурността, ако изходът идва от външна програма в заместването на команди, където такъв изход може да не се очаква.

Тази недостатък в дизайна се появи в най-ранните версии на fish, още преди появата на системата за контрол на версиите, и се смята, че е присъствал във всяка версия на fish, издадена през последните 15 години или повече, въпреки че с различни символи.

Изпълнението на код не изглежда възможно, но атака DoS (чрез разкриване на голям брой скоби) или разкриване на информация (например, чрез разширение на променливи) е потенциално възможна при определени обстоятелства.

В версия 3.6.3 са поправени само тестовете.

Източник: linux.org.ru