GNU-projektet har offentliggjort en udgave af teksteditoren GNU Emacs 29.4. Projektets kode er skrevet i C og Lisp sprog og distribueres under GPLv3-licensen. GNU Emacs 29.4 præsenteres som en uplanlagt nødudgivelse med rettelse af en sårbarhed (CVE ikke tildelt). Detaljer om sårbarheden er endnu ikke offentliggjort, men det er angivet, at det er nødvendigt at forbyde udførelsen af vilkårlige shell-kommandoer, når Org-tilstanden er aktiveret, for at blokere sårbarheden. Det ser ud til, at sårbarheden muliggør udførelse af kode ved åbning af bestemt indhold i Emacs eller ved visning af specielt udformede beskeder i den mail-/RSS-/NNTP-klient, der følger med Emacs, Gnus.
Tillæg: Der er offentliggjort et eksempel på en org-fil, hvis åbning i Emacs fører til udførelse af shell-kommandoer. For at udnytte sårbarheden kan en sådan fil også vedhæftes til en e-mail, og den vil blive udført ved forhåndsvisning i Emacs.
#+LINK: shell %(shell-command-to-string)
[[shell:touch ~/hacked.txt]]
Kilde: opennet.ru
