GNU Guix প্যাকেজ ম্যানেজারে দুর্বলতা

প্যাকেজ ম্যানেজারে জিএনইউ গুইস চিহ্নিত দুর্বলতা (CVE-2019-18192), যা অন্য ব্যবহারকারীর প্রেক্ষাপটে কোড চালানোর অনুমতি দেয়। সমস্যাটি মাল্টি-ইউজার গুইক্স কনফিগারেশনে ঘটে এবং ব্যবহারকারী প্রোফাইলের সাথে সিস্টেম ডিরেক্টরিতে অ্যাক্সেসের অধিকার ভুলভাবে সেট করার কারণে ঘটে।

ডিফল্টরূপে, ~/.guix-profile ব্যবহারকারী প্রোফাইলগুলিকে /var/guix/profiles/per-user/$USER ডিরেক্টরির প্রতীকী লিঙ্ক হিসাবে সংজ্ঞায়িত করা হয়। সমস্যা হল যে /var/guix/profiles/per-user/ ডিরেক্টরির অনুমতি যে কোনো ব্যবহারকারীকে নতুন সাবডিরেক্টরি তৈরি করতে দেয়। একজন আক্রমণকারী অন্য ব্যবহারকারীর জন্য একটি ডিরেক্টরি তৈরি করতে পারে যিনি এখনও লগ ইন করেননি এবং তার কোডটি চালানোর ব্যবস্থা করতে পারেন (/var/guix/profiles/per-user/$USER PATH ভেরিয়েবলে উপস্থিত থাকে এবং আক্রমণকারী এক্সিকিউটেবল ফাইলগুলি রাখতে পারে সিস্টেম এক্সিকিউটেবল ফাইলের পরিবর্তে ভিকটিম চালানোর সময় এই ডিরেক্টরিতে কার্যকর করা হবে)।

উত্স: opennet.ru