Състоя се коригиращ випуск 3.6.2 на интерактивната командна обвивка fish с поправка на уязвимост CVE-2023-49284.
fish shell използва някои символи Unicode за вътрешно маркиране на замествания и разширения. Този неправилен подход позволяваше тези символи да се четат в извода на заместването на команди, вместо да ги трансформира в безопасно вътрешно представяне.
Въпреки че това може да предизвика неочаквано поведение при директно въвеждане (например, echo UFDD2HOME има същия изход като echo $HOME), това може да се превърне в незначителен проблем за сигурността, ако извода идва от външна програма в заместването на команди, където такъв изход може да не се очаква.
Този недостатък в дизайна се появи в най-ранните версии на fish, още преди появата на системата за контрол на версиите, и се счита, че присъства във всяка версия на fish, издадена през последните 15 години или повече, въпреки че с различни символи.
Изпълнението на код не е възможно, но атака DoS (чрез разкритие на голямо количество скобки) или разкритие на информация (например, чрез разширение на променливи) потенциално е възможно при определени обстоятелства.
В версия 3.6.3 са поправени само тестовете.
Източник: linux.org.ru
