Im Paketmanager Guix wurden Schwachstellen (CVE nicht zugewiesen) in der Implementierung des internen Befehls «guix substitute» entdeckt, der automatisch von dem Hintergrundprozess guix-daemon beim Ausf\u00fchren von Paketinstallationsvorg\u00e4ngen aufgerufen wird. Der Befehl wird verwendet, um bereits kompilierte Bin\u00e4rpakete von externen Servern herunterzuladen und deren Integrit\u00e4t mithilfe digitaler Signaturen zu \u00fcberpr\u00fcfen. Die gef\u00e4hrlichste Schwachstelle erm\u00f6glicht die remote Ausf\u00fchrung von Code auf dem System des Benutzers mit den Rechten, unter denen der Hintergrundprozess guix-daemon ausgef\u00fchrt wird. <\/p>\n
Das Problem betrifft alle Konfigurationen mit dem Prozess guix-daemon, unabh\u00e4ngig davon, ob er mit Root-Rechten oder unter einem nicht privilegierten Benutzer ausgef\u00fchrt wird. Um die Schwachstelle auszunutzen, gen\u00fcgt es, einen beliebigen Versuch zu unternehmen, fertige Bin\u00e4rpakete von Server<\/a>, die unter der Kontrolle des Angreifers stehen. Dabei wird sch\u00e4dlicher der Server<\/a> muss nicht unbedingt explizit gew\u00e4hlt oder in den Benutzereinstellungen angegeben werden — er kann mit der Option «—discover» definiert werden, was den Austausch des Servers w\u00e4hrend eines MITM-Angriffs erm\u00f6glicht. In Konfigurationen, in denen guix-daemon mit erh\u00f6hten Rechten ausgef\u00fchrt wird, kann ein lokaler Benutzer einen Angriff ausf\u00fchren, sofern er die M\u00f6glichkeit hat, eine Verbindung zu dem Hintergrundprozess \u00fcber ein Unix-Socket herzustellen (standardm\u00e4\u00dfig f\u00fcr alle Benutzer zug\u00e4nglich). <\/p>\n Die Schwachstelle existiert im Handler \u201erestore-file\u201c, der verwendet wird, um w\u00e4hrend des Hochladens eines Pakets zu entpacken, ohne auf den vollst\u00e4ndigen Upload und die \u00dcberpr\u00fcfung des hochgeladenen Archivs durch die digitale Signatur zu warten. Das Problem entsteht durch das Fehlen einer \u00dcberpr\u00fcfung auf die Zeichen \u201e.\u201c , \u201e\/\u201c und \u201e..\u201c in den im Archiv enthaltenen Dateipfaden. Durch das Einf\u00fcgen ung\u00fcltiger Dateinamen in das Archiv kann ein Angreifer die Schreibberechtigungen f\u00fcr beliebige Dateien im Dateisystem ausnutzen, je nach den Rechten, unter denen der Hintergrundprozess guix-daemon l\u00e4uft. <\/p>\n Um die Ausf\u00fchrung eigenen Codes im System zu erm\u00f6glichen, k\u00f6nnte man beispielsweise ein Autostart-Skript wie \u201e~\/.bashrc\u201c oder \u201e~\/.profile\u201c hinzuf\u00fcgen oder die Datei \u201e~\/.ssh\/authorized_keys\u201c mit SSH-Schl\u00fcsseln \u00e4ndern. Wenn in einem Mehrbenutzersystem der guix-daemon unter dem Benutzer root ausgef\u00fchrt wird, kann ein Angreifer die Passwortdatei oder Systemskripte \u00fcberschreiben. <\/p>\n Die M\u00f6glichkeit, gef\u00e4lschte Server f\u00fcr die Verbreitung b\u00f6sartiger Pakete zu erstellen, resultiert daraus, dass das Verfahren zum Abrufen der Metadaten (narinfo) \u00fcber verf\u00fcgbare Bin\u00e4rpakete (fetch-narinfos) die Serverzertifikate nicht \u00fcberpr\u00fcfte und sich darauf verlie\u00df, dass der Gro\u00dfteil der Metadaten durch eine digitale Signatur validiert wird. Wie sich herausstellte, umfasste die Signatur nicht die URL zum Herunterladen des Pakets, was es erm\u00f6glichte, diese zu \u00e4ndern, ohne die Integrit\u00e4t der Metadaten zu verletzen. Letztendlich w\u00fcrde das gef\u00e4lschte Paket aufgrund des Scheiterns der Hash-Pr\u00fcfung, die durch die digitale Signatur validiert wurde, abgelehnt werden, jedoch wurde diese Pr\u00fcfung erst nach dem Entpackungsprozess durchgef\u00fchrt, bei dem das Problem mit speziellen Zeichen in den Dateinamen auftrat. <\/p>\n Neben dem Befehl «guix substitute» wird der anf\u00e4llige Handler «restore-file» auch in den Befehlen «guix offload», «guix archive —extract» und «guix challenge» verwendet, \u00fcber die die Schwachstelle ebenfalls ausgenutzt werden kann. Um die Schwachstelle zu umgehen, wird empfohlen, die Option «—no-substitutes» explizit in allen guix-Befehlen anzugeben. Die Behebung der Schwachstelle wurde in den Quellcode von Guix integriert. Benutzern wird geraten, die von den Entwicklern bereitgestellten Updates f\u00fcr guix und guix-daemon umgehend zu installieren. <\/p>\n Neben dem genannten Problem wurden in Guix zus\u00e4tzlich drei weitere Sicherheitsanf\u00e4lligkeiten behoben: <\/p>\n\n