Se han identificado vulnerabilidades en el gestor de paquetes Guix (CVE no asignados) en la implementaci\u00f3n del comando interno \u00abguix substitute\u00bb, que es llamado autom\u00e1ticamente por el proceso en segundo plano guix-daemon durante la realizaci\u00f3n de operaciones de instalaci\u00f3n de paquetes. Este comando se utiliza para descargar paquetes binarios previamente compilados desde servidores externos, verificando su integridad mediante firma digital. La vulnerabilidad m\u00e1s grave permite ejecutar c\u00f3digo de manera remota en el sistema del usuario con los privilegios bajo los cuales se ejecuta el proceso en segundo plano guix-daemon. <\/p>\n
El problema afecta a todas las configuraciones con el proceso guix-daemon, independientemente de si se ejecuta con privilegios de root o bajo un usuario no privilegiado. Para explotar la vulnerabilidad, basta con cualquier intento de cargar paquetes binarios preparados desde servidores<\/a>, controlado por el atacante. Adem\u00e1s, el contenido malicioso servidor<\/a> no necesariamente debe ser elegido o especificado expl\u00edcitamente en la configuraci\u00f3n del usuario \u2014 puede ser definido utilizando la opci\u00f3n \u00ab--discover\u00bb, lo que permite realizar una sustituci\u00f3n de servidor durante un ataque MITM. En las configuraciones donde guix-daemon se ejecuta con privilegios elevados, un usuario local puede llevar a cabo un ataque si tiene la posibilidad de conectarse al proceso en segundo plano a trav\u00e9s de un socket Unix (que est\u00e1 disponible por defecto para todos los usuarios). <\/p>\n La vulnerabilidad est\u00e1 presente en el manejador \u00abrestore-file\u00bb, que se utiliza para descomprimir mientras se carga el paquete, sin esperar a que se complete la carga y verificaci\u00f3n del archivo comprimido mediante firma digital. El problema se debe a la falta de comprobaci\u00f3n de la existencia de los caracteres \u00ab.\u00bb, \u00ab\/\u00bb y \u00ab..\u00bb en las rutas de los archivos incluidos en el archivo comprimido. A trav\u00e9s de la inclusi\u00f3n en el archivo comprimido de nombres de archivos incorrectos, un atacante puede lograr escribir un archivo arbitrario en cualquier \u00e1rea del sistema de archivos, en la medida en que lo permitan los privilegios bajo los cuales se ejecuta el proceso en segundo plano guix-daemon. <\/p>\n Para lograr la ejecuci\u00f3n de su propio c\u00f3digo en el sistema, por ejemplo, se puede agregar un script que se ejecute autom\u00e1ticamente, como \u00ab~\/.bashrc\u00bb o \u00ab~\/.profile\u00bb, o modificar el archivo \u00ab~\/.ssh\/authorized_keys\u00bb con las claves SSH. Si en un sistema multiusuario guix-daemon se ejecuta bajo el usuario root, el atacante podr\u00eda sobrescribir archivos con contrase\u00f1as o scripts del sistema. <\/p>\n La posibilidad de crear servidores sustitutos para la distribuci\u00f3n de paquetes maliciosos se debe a que el procedimiento de carga de metadatos (narinfo) sobre los paquetes binarios disponibles (fetch-narinfos) no realizaba la verificaci\u00f3n del certificado del servidor, confiando en que la mayor parte de los metadatos estaba firmada digitalmente. Result\u00f3 que la firma no abarcaba la URL para la descarga del paquete, lo que permit\u00eda cambiarla sin violar la integridad de los metadatos. En \u00faltima instancia, el paquete sustituto ser\u00eda descartado debido a que no pasar\u00eda la verificaci\u00f3n de su contenido por el hash firmado digitalmente, pero esta revisi\u00f3n se llevaba a cabo tras la etapa de descompresi\u00f3n, en la que se manifestaba el problema con los caracteres especiales en los nombres de archivos. <\/p>\n Adem\u00e1s del comando «guix substitute», el manejador vulnerable «restore-file» se utiliza en los comandos «guix offload», «guix archive —extract» y «guix challenge», a trav\u00e9s de los cuales tambi\u00e9n se puede explotar la vulnerabilidad. Como soluci\u00f3n para bloquear la vulnerabilidad, se sugiere especificar claramente la opci\u00f3n «—no-substitutes» en todos los comandos de guix. La correcci\u00f3n de la vulnerabilidad se ha incorporado a la base de c\u00f3digo de Guix. Se recomienda a los usuarios que instalen inmediatamente las actualizaciones generadas por los desarrolladores de guix y guix-daemon. <\/p>\n Adem\u00e1s del problema mencionado, se han solucionado otras tres vulnerabilidades en Guix: <\/p>\n\n