{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"S\u00e5rbarhed i pakkeh\u00e5ndteringsv\u00e6rkt\u00f8jet Guix, som tillader fjernudf\u00f8relse af kode i systemet.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I pakkeshandleren Guix er der opdaget s\u00e5rbarheder (CVE ikke tildelt) i implementeringen af den interne kommando «guix substitute», som automatisk kaldes af baggrundsprocessen guix-daemon ved installation af pakker. Denne kommando anvendes til at hente allerede sammensatte bin\u00e6re pakker fra eksterne servere med kontrol af deres integritet ved hj\u00e6lp af digital signatur. Den mest kritiske s\u00e5rbarhed giver mulighed for fjernudf\u00f8relse af kode p\u00e5 brugerens system med de rettigheder, som baggrundsprocessen guix-daemon k\u00f8rer med. <\/p>\n

Problemet p\u00e5virker alle konfigurationer med processen guix-daemon, uanset om den k\u00f8rer med root-rettigheder eller som en ikke-privilegeret bruger. For at udnytte s\u00e5rbarheden kr\u00e6ves blot et fors\u00f8g p\u00e5 at downloade f\u00e6rdige bin\u00e6re pakker fra server<\/a>, som kontrolleres af angriberen. Den ondsindede server<\/a> beh\u00f8ver ikke n\u00f8dvendigvis at v\u00e6re eksplicit valgt eller angivet i brugerindstillingerne — det kan defineres ved hj\u00e6lp af indstillingen «—discover», hvilket muligg\u00f8r udskiftning af server under en MITM-attack. I konfigurationer, hvor guix-daemon k\u00f8rer med forh\u00f8jede rettigheder, kan en lokal bruger udf\u00f8re et angreb, hvis der er mulighed for at oprette forbindelse til baggrundsprocessen via en Unix-sokkel (som som standard er tilg\u00e6ngelig for alle brugere). <\/p>\n

S\u00e5rbarheden findes i h\u00e5ndteringen af «restore-file», der anvendes til at pakke ud under nedlastningen af pakken, uden at vente p\u00e5 dens fulde nedl\u00e6sning og verifikation af den downloadede arkiv ved hj\u00e6lp af digital signatur. Problemet skyldes manglende kontrol med tilstedev\u00e6relsen af symbolerne «.», «\\\/» og «..» i filstierne i arkivet. Ved at inds\u00e6tte ugyldige filnavne i arkivet kan angriberen opn\u00e5, at tilf\u00e6ldige filer skrives til enhver del af filsystemet, alt efter de rettigheder, som baggrundsprocessen guix-daemon k\u00f8rer med. <\/p>\n

For at sikre udf\u00f8relse af sin kode i systemet, kan man for eksempel tilf\u00f8je et autostart-script som «~\\\/ .bashrc» eller ~\\\/ .profile, eller \u00e6ndre filen ~\\\/ .ssh\\\/authorized_keys med SSH-n\u00f8gler. Hvis guix-daemon k\u00f8rer under brugeren root i et flerbruger-system, kan angriberen overskrive filen med adgangskoder eller systemscript. <\/p>\n

Muligheden for at oprette falske servere for distribution af skadelige pakker skyldes, at proceduren for indl\u00e6sning af metadata (narinfo) om tilg\u00e6ngelige bin\u00e6re pakker (fetch-narinfos) ikke udf\u00f8rte kontrol af serverens certifikat, men stolede p\u00e5, at st\u00f8rstedelen af metadataene blev bekr\u00e6ftet med en digital signatur. Det viste sig, at signaturen ikke d\u00e6kkede URL'en for download af pakken, hvilket gjorde det muligt at \u00e6ndre den uden at kr\u00e6nke integriteten af metadataene. I sidste ende ville den falske pakke blive afvist p\u00e5 grund af, at dens indhold ikke bestod hash-kontrollen bekr\u00e6ftet med den digitale signatur, men denne kontrol blev udf\u00f8rt efter dekomprimeringsfasen, hvor der opstod problemer med specialtegn i filnavne. <\/p>\n

Udover kommandoen «guix substitute» anvendes den s\u00e5rbare behandler «restore-file» i arbejdet med kommandoerne «guix offload», «guix archive —extract» og «guix challenge», gennem hvilke s\u00e5rbarheden ogs\u00e5 kan udnyttes. Som en midlertidig l\u00f8sning for at blokere s\u00e5rbarheden anbefales det at angive muligheden «—no-substitutes» i alle guix-kommandoer. Rettelsen af s\u00e5rbarheden er blevet accepteret i Guix-kodebasen. Brugerne anbefales straks at installere de opdateringer, der er udarbejdet af udviklerne af guix og guix-daemon. <\/p>\n

Ud over den n\u00e6vnte problematik i Guix er der blevet rettet yderligere tre s\u00e5rbarheder: <\/p>\n