{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"Sicherheitsanf\u00e4lligkeit im Paketmanager Guix, die die remote Ausf\u00fchrung von Code im System erm\u00f6glicht","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Paketmanager Guix wurden Schwachstellen entdeckt (keine CVEs zugewiesen) in der Umsetzung des internen Befehls «guix substitute», der automatisch vom Hintergrundprozess guix-daemon w\u00e4hrend der Paketinstallationsoperationen aufgerufen wird. Der Befehl wird verwendet, um bereits erstellte Bin\u00e4rpakete von externen Servern herunterzuladen und deren Integrit\u00e4t mittels digitaler Signatur zu \u00fcberpr\u00fcfen. Die gef\u00e4hrlichste Schwachstelle erm\u00f6glicht es, aus der Ferne die Ausf\u00fchrung von Code auf dem System des Nutzers mit den Rechten, unter denen der Hintergrundprozess guix-daemon l\u00e4uft, zu initiieren. <\/p>\n

Das Problem betrifft alle Konfigurationen mit dem Prozess guix-daemon, unabh\u00e4ngig davon, ob er mit Root-Rechten oder mit einem unprivilegierten Benutzer ausgef\u00fchrt wird. F\u00fcr die Ausnutzung der Sicherheitsanf\u00e4lligkeit gen\u00fcgt ein beliebiger Versuch, vorgefertigte Bin\u00e4rpakete von Server<\/a>, die unter der Kontrolle des Angreifers stehen. Dabei muss die sch\u00e4dliche Server<\/a> muss nicht unbedingt ausdr\u00fccklich in den Benutzereinstellungen ausgew\u00e4hlt oder angegeben werden — er kann durch die Option «—discover» bestimmt werden, was eine Ersetzung des Servers im Verlauf eines MITM-Angriffs erm\u00f6glicht. In Konfigurationen, in denen guix-daemon mit erh\u00f6hten Berechtigungen l\u00e4uft, kann ein lokaler Benutzer einen Angriff durchf\u00fchren, wenn er die M\u00f6glichkeit hat, sich \u00fcber einen Unix-Socket mit dem Hintergrundprozess zu verbinden (im Standard sind alle Benutzer zugelassen). <\/p>\n

Die Schwachstelle ist im Handler «restore-file» vorhanden, der verwendet wird, um w\u00e4hrend des Paketdownloads sofort zu entpacken, ohne auf den vollst\u00e4ndigen Download und die Verifizierung des heruntergeladenen Archivs durch digitale Signatur zu warten. Das Problem resultiert aus dem Fehlen einer \u00dcberpr\u00fcfung auf die Zeichen «. », «\\\/» und «..» in den im Archiv enthaltenen Dateipfaden. Durch die Ersetzung in das Archiv mit ung\u00fcltigen Dateinamen kann ein Angreifer erreichen, dass eine beliebige Datei in jeden Bereich des Dateisystems geschrieben wird, je nach den Rechten, unter denen der Hintergrundprozess guix-daemon l\u00e4uft. <\/p>\n

Um die Ausf\u00fchrung seines Codes im System zu organisieren, kann man beispielsweise ein automatisch startendes Skript hinzuf\u00fcgen, wie «~\\\/bashrc» oder ~\\\/profile, oder die Datei ~\\\/ssh\\\/authorized_keys mit den SSH-Schl\u00fcsseln \u00e4ndern. Wenn der guix-daemon in einem Mehrbenutzersystem unter dem Benutzer root l\u00e4uft, kann der Angreifer die Datei mit den Passw\u00f6rtern oder Systemskripte \u00fcberschreiben. <\/p>\n

Die M\u00f6glichkeit, gef\u00e4lschte Server zur Verbreitung von Malware-Paketen zu erstellen, resultiert daraus, dass das Verfahren zur Abfrage von Metadaten (narinfo) zu verf\u00fcgbaren Bin\u00e4rpaketen (fetch-narinfos) die Serverzertifikats\u00fcberpr\u00fcfung nicht durchf\u00fchrte und sich darauf verlie\u00df, dass der gr\u00f6\u00dfte Teil der Metadaten durch eine digitale Signatur gesichert wurde. Es stellte sich heraus, dass die Signatur die URL zum Herunterladen des Pakets nicht abdeckte, was eine Manipulation ohne Beeintr\u00e4chtigung der Integrit\u00e4t der Metadaten erm\u00f6glichte. Letztendlich w\u00e4re das gef\u00e4lschte Paket aufgrund des Scheiterns der \u00dcberpr\u00fcfung seines Inhalts durch den digitalen Signatur-Hash verworfen worden, jedoch fand diese \u00dcberpr\u00fcfung erst nach dem Entpacken statt, bei dem das Problem mit den Sonderzeichen in den Dateinamen auftrat. <\/p>\n

Neben dem Befehl «guix substitute» wird der verwundbare Handler «restore-file» auch in den Befehlen «guix offload», «guix archive —extract» und «guix challenge» verwendet, \u00fcber die ebenfalls die Schwachstelle ausgenutzt werden kann. Als Workaround zur Blockierung der Schwachstelle wird empfohlen, die Option «—no-substitutes» in allen guix-Befehlen explizit anzugeben. Der Fix f\u00fcr die Schwachstelle wurde in den Code-Bestand von Guix aufgenommen. Benutzern wird geraten, die vom Entwickler bereitgestellten Updates f\u00fcr guix und guix-daemon umgehend zu installieren. <\/p>\n

Neben dem genannten Problem wurden in Guix noch drei weitere Schwachstellen beseitigt: <\/p>\n