Der er udgivet en korrektivversion 3.6.2 af den interaktive kommandolinje fish med en rettelse af sårbarheden CVE-2023-49284.
fish shell bruger nogle Unicode-tegn til intern mærkning af pladsholdere og udvidelser. Denne forkert tilgange gjorde det muligt at læse disse tegn i udgang af kommandoer i stedet for at konvertere dem til en sikker intern repræsentation.
Selvom dette kan forårsage uventet adfærd ved direkte input (for eksempel giver echo UFDD2HOME samme output som echo $HOME), kan det udgøre et mindre sikkerhedsproblem, hvis outputtet leveres fra et eksternt program til substitutionskommandoen, hvor sådant output muligvis ikke forventes.
Denne designfejl opstod i de tidligste versioner af fish, selv før versionskontrolsystemet blev introduceret, og anses for at være til stede i hver version af fish udgivet i de sidste 15 år eller mere, om end med forskellige tegn.
Udførelse af kode er ikke muligt, men en DoS-angreb (ved at afsløre et stort antal parenteser) eller informationslækage (for eksempel gennem variabeludvidelse) er potentielt muligt under bestemte omstændigheder.
I version 3.6.3 er kun testene blevet rettet.
Kilde: linux.org.ru
