Es gab ein Korrektur-Release 3.6.2 der interaktiven Command-Line-Shell fish, das eine Sicherheitsanfälligkeit behebt. CVE-2023-49284.
Die fish-Shell verwendet bestimmte Unicode-Zeichen für die interne Kennzeichnung von Platzhaltern und Erweiterungen. Dieser fehlerhafte Ansatz ermöglichte es, diese Zeichen im Ausgabe der Befehlsersetzung zu lesen, anstatt sie in eine sichere interne Darstellung umzuwandeln.
Obwohl dies unerwartetes Verhalten bei direkter Eingabe verursachen kann (zum Beispiel gibt echo UFDD2HOME dasselbe aus wie echo $HOME), könnte es zu einem geringfügigen Sicherheitsproblem werden, wenn die Ausgabe von einem externen Programm in die Befehlsersetzung eingespeist wird, wo eine solche Ausgabe nicht erwartet wird.
Dieser Konstruktionsmangel trat bereits in den frühesten Versionen von fish auf, noch vor der Einführung eines Versionskontrollsystems, und wird als in jeder Version von fish, die in den letzten 15 Jahren oder länger veröffentlicht wurde, anwesend angesehen, wenn auch mit unterschiedlichen Zeichen.
Code-Ausführung scheint nicht möglich zu sein, aber DoS-Angriffe (durch die Offenlegung einer großen Anzahl von Klammern) oder Informationslecks (zum Beispiel durch Variablenerweiterung) sind unter bestimmten Umständen potenziell möglich.
In Version 3.6.3 wurden nur die Tests behoben.
Quelle: linux.org.ru
