Se ha detectado una vulnerabilidad en los gestores de paquetes Nix y Lix que permite ejecutar código con los privilegios del proceso en segundo plano, que en NixOS y en instalaciones multitusuario se ejecuta bajo el usuario root. El problema (CVE no asignado) se manifiesta en el proceso en segundo plano nix-daemon, utilizado para organizar el acceso de usuarios no privilegiados a las operaciones de construcción y al repositorio de paquetes.
La vulnerabilidad se debe a la falta de restricción en el procesamiento recursivo de directorios en el código para analizar archivos NAR (Nix Archive), lo que se puede utilizar para iniciar un desbordamiento de pila de corutinas y sobrescribir el contenido del heap que se encuentra después de la pila, sin páginas de protección de memoria. El problema puede ser explotado por cualquier usuario que pueda establecer conexiones con el nix-daemon. Por defecto, todos los usuarios tienen esta capacidad, lo que permite elevar sus privilegios al usuario root en instalaciones multitusuario de Nix.
El problema se ha resuelto limitando el nivel de recursión a 64 directorios anidados, agregando páginas de protección de memoria entre la pila y el heap, y realizando verificaciones adicionales de enlaces simbólicos en NAR. En Nix, la vulnerabilidad se manifiesta a partir de la versión 2.24.4 y se ha corregido en las versiones 2.34.7, 2.33.6, 2.32.8, 2.31.5, 2.30.5, 2.29.4, 2.28.7. En Lix, la vulnerabilidad apareció en la versión 2.93.0 y se corrigió en las actualizaciones 2.93.4, 2.94.2 y 2.95.2. El gestor de paquetes Guix no se ve afectado por esta vulnerabilidad.
Además de esto, en las actualizaciones publicadas de Nix se ha solucionado otra vulnerabilidad (sin CVE), que se ha clasificado con un nivel de riesgo medio (4.3 de 10). El problema se manifiesta a partir de la versión 2.24.7 de Nix y permite escribir archivos en un área fuera del directorio raíz donde se descomprime el archivo. La vulnerabilidad se explota mediante la creación de elementos con rutas de archivos absolutas en archivos tar. Al descomprimir tales archivos con el comando "nix-prefetch-url --unpack" o "nix store prefetch-file --unpack", los archivos con rutas absolutas se extraen tal cual, sin convertir a rutas relativas.
Fuente: opennet.ru
