Došlo k opravné verzi 3.6.2 interaktivní příkazové řádky fish s opravou zranitelnosti CVE-2023-49284.
Shell fish používá některé znaky Unicode pro interní označování zástupných znaků a rozšíření. Tento nesprávný přístup umožnil, aby se tyto znaky objevily v výstupu zástupných znaků příkazů, místo aby byly převedeny do bezpečné vnitřní reprezentace.
I když to může způsobit neočekávané chování při přímém zadávání (například echo UFDD2HOME dává stejný výstup jako echo $HOME), může to představovat zanedbatelné bezpečnostní riziko, pokud je výstup odeslán z externího programu do zástupného volání, kde by se tento výstup nemusel očekávat.
Tento designový nedostatek se objevil v nejranějších verzích fish, ještě před zavedením systému správy verzí, a věří se, že je přítomen v každé verzi fish vydané za posledních 15 let nebo více, i když s různými znaky.
Vykonávání kódu není možné, ale DoS útok (přes odhalení velkého množství závorek) nebo únik informací (například prostřednictvím rozšíření proměnných) jsou potenciálně možné za určitých okolností.
Ve verzi 3.6.3 byly opraveny pouze testy.
Zdroj: linux.org.ru
