Ve správcích balíčků Nix a Lix byla objevena zranitelnost, která umožňuje spuštění kódu s oprávněními procesu na pozadí, který běží pod uživatelem root v systémech NixOS a v instalacích s více uživateli. Problém (nepřiřazené CVE) ovlivňuje proces na pozadí nix-daemon, který slouží k poskytnutí přístupu k operacím sestavení a repozitáři balíčků neoprávněným uživatelům.
Tato zranitelnost vyplývá z chybějícího omezení rekurzivního zpracování adresářů v kódu pro analýzu NAR (Nix Archive). Toho lze zneužít ke spuštění vyčerpání zásobníku korutin a přepsání obsahu haldy umístěné za zásobníkem bez ochranných stránek. Tuto chybu může zneužít jakýkoli uživatel, který je schopen navázat spojení s démonem nix. Ve výchozím nastavení mají tuto možnost všichni uživatelé, což jim umožňuje zvýšit svá oprávnění na uživatele root v instalacích Nix s více uživateli.
Problém byl vyřešen omezením úrovně rekurze na 64 vnořených adresářů, přidáním ochranných stránek mezi zásobník a haldu a implementací dalších kontrol symbolických odkazů v NAR. V Nixu se tato zranitelnost objevuje od verze 2.24.4 a byla opravena ve verzích 2.34.7, 2.33.6, 2.32.8, 2.31.5, 2.30.5, 2.29.4 a 2.28.7. V Lixu se tato zranitelnost objevila ve verzi 2.93.0 a byla opravena v aktualizacích 2.93.4, 2.94.2 a 2.95.2. Správce balíčků Guix není touto zranitelností ovlivněn.
Publikované aktualizace Nixu navíc opravují další zranitelnost (bez CVE) hodnocenou jako střední úroveň závažnosti (4.3 z 10). Problém existuje od verze Nix 2.24.7 a umožňuje zápis souborů do oblasti mimo kořenový adresář, do kterého se archivy rozbalují. Zranitelnost je zneužívána vytvářením prvků s absolutními cestami k souborům v souborech tar. Při rozbalování takových archivů pomocí příkazu „nix-prefetch-url --unpack“ nebo „nix store prefetch-file --unpack“ se soubory s absolutními cestami extrahují tak, jak jsou, bez jejich převodu na relativní cesty.
Zdroj: opennet.ru
