Проект GNU публикува нова версия на текстовия редактор GNU Emacs 29.4. Кодът на проекта е написан на езиците C и Lisp и се разпространява под лицензия GPLv3. GNU Emacs 29.4 се представя като извънредно издание с корекция на уязвимост (CVE не е назначен). Детайлите за уязвимостта все още не са разкрити, посочено е само, че за нейното блокиране е забранено изпълнението на произволни shell команди при активиране на режима Org. Изглежда, че уязвимостта позволява изпълнението на код при отваряне на определено съдържание в Emacs или при преглеждане на специално форматирани съобщения в пощенския/RSS/NNTP клиент Gnus, включен в Emacs.
Допълнение: Публикуван е примерен org-файл, чийто отвор в Emacs предизвиква изпълнение на shell команди. За експлоатация на уязвимостта може също така да бъде прикрепен подобен файл към имейл и той ще бъде изпълнен при предварителен преглед в Emacs.
#+LINK: shell %(shell-command-to-string)
[[shell:touch ~/hacked.txt]]
Източник: opennet.ru
