Es fand ein korrigierendes Release 3.6.2 der interaktiven Kommandozeile fish mit der Behebung einer Sicherheitsanfälligkeit statt. CVE-2023-49284.
Die fish-Shell verwendet einige Unicode-Zeichen zur internen Markierung von Platzhaltern und Erweiterungen. Dieser fehlerhafte Ansatz erlaubte es, diese Zeichen in der Ausgabe von Platzhalter-Befehlen zu lesen, anstatt sie in eine sichere interne Darstellung zu konvertieren.
Obwohl dies unerwartetes Verhalten bei direkter Eingabe verursachen kann (z. B. gibt echo UFDD2HOME die gleiche Ausgabe wie echo $HOME zurück), könnte dies ein geringfügiges Sicherheitsproblem darstellen, wenn die Ausgabe von einem externen Programm in den Platzhalter-Befehl eingespeist wird, wo eine solche Ausgabe nicht erwartet wird.
Dieser Designfehler trat in den frühesten Versionen von fish auf, noch bevor ein Versionskontrollsystem existierte, und wird angenommen, in jeder Version von fish vorhanden zu sein, die in den letzten 15 Jahren oder länger veröffentlicht wurde, allerdings mit unterschiedlichen Zeichen.
Die Ausführung von Code ist nicht möglich, aber ein DoS-Angriff (durch die Offenlegung einer großen Anzahl von Klammern) oder eine Informations offenlegung (zum Beispiel durch die Erweiterung von Variablen) ist unter bestimmten Umständen potenziell möglich.
In der Version 3.6.3 wurden nur die Tests korrigiert.
Quelle: linux.org.ru
