fish 3.6.2 ja 3.6.3 koos parandusega CVE-2023-49284

Ilmus 3.6.2 interaktiivne käsurea tõlgi fish parandav versioon, mis lahendab haavatavuse CVE-2023-49284.

Fish shell kasutab mõningaid Unicode märke sisemiste esitusmarkide ja laienduste jaoks. See vale lähenemine võimaldas neid märke lugeda käsurea asenduse väljundis, selle asemel, et need muundada ohutuks sisemiseks esituseks.

Kuigi see võib põhjustada ootamatuid käitumisi otse sisestamisel (näiteks echo UFDD2HOME annab sama väljundi kui echo $HOME), võib see saada kergeks turbeprobleemiks, kui väljund pärineb välistest programmidest käsurea asenduses, kus sellist väljundit ei oodata.

See disainiviga ilmnes fishi varasemates versioonides, veel enne versioonihalduse süsteemi tulekut, ja arvatakse, et see on olemas igas fishi versioonis, mis on välja antud viimase 15 aasta jooksul või rohkem, kuigi erinevate sümbolitega.

Koodi täitmine ei ole võimalik, kuid DoS-rünnak (suure hulga sulgude kaudu) või teabe lekke oht (näiteks muutuja laiendamise kaudu) on potentsiaalselt võimalik teatud asjaoludel.

Versioonis 3.6.3 on parandatud ainult testid.

Allikas: linux.org.ru