GNU Emacsi 29.4 lahendab haavatavuse, mis võib põhjustada koodi käivitamist spetsiaalselt vormindatud faili avamisel

GNU projekt on avaldanud tekstiredaktori GNU Emacs 29.4 väljalaske. Projekti kood on kirjutatud keeltes C ja Lisp ning see levitakse GPLv3 litsentsi alusel. GNU Emacs 29.4 on esitatud kui erakorraline väljalaskmine, et kõrvaldada turvaauk (CVE ei ole määratud). Üksikasju turvaaugu kohta ei ole veel avatud, on vaid märgitud, et selle blokeerimiseks on keelatud käivitada suvalisi shell-käske Org-režiimi sisselülitamise ajal. Tundub, et turvaauk võimaldab koodi käivitamist teatud sisu avamisel Emacsis või spetsiaalselt kujundatud sõnumite vaatamisel Emacsi meili/RSS/NNTP kliendis Gnus.

Täiendav teave: Avaldati org-faili näide, mille avamine Emacsis põhjustab shell-käskude täitmise. Turvaaugu kasutamiseks saab ka sellise faili e-kirjale lisada ja see käivitatakse Emacsi eelvaates.

#+LINK: shell %(shell-command-to-string)
[[shell:touch ~/hacked.txt]]

Allikas: opennet.ru