{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"Guixi pakettihalduris on haavatavus, mis v\u00f5imaldab kaugkoodi t\u00e4itmist s\u00fcsteemis","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Guix paketihalduris on avastatud haavatavused (CVE ei ole m\u00e4\u00e4ratud) sisemise k\u00e4su \u201eguix substitute\u201c teostuses, mis k\u00e4ivitub automaatselt guix-daemoni taustprotsessis pakettide installimise ajal. Seda k\u00e4sku kasutatakse juba koostatud binaarpakettide allalaadimiseks v\u00e4listelt serveritelt, kontrollides nende terviklikkust digitaalse allkirja abil. K\u00f5ige ohtlikum haavatavus v\u00f5imaldab kauget koodi t\u00e4itmist kasutaja s\u00fcsteemis \u00f5igustes, millega taustprotsess guix-daemon t\u00f6\u00f6tab. <\/p>\n

Ongelma koskee kaikkia konfiguraatioita, joissa on guix-daemon-prosessi, riippumatta siit\u00e4, k\u00e4ynnistet\u00e4\u00e4nk\u00f6 se root-oikeuksilla tai ep\u00e4privilegioidulla k\u00e4ytt\u00e4j\u00e4ll\u00e4. Haavoittuvuuden hy\u00f6dynt\u00e4miseksi riitt\u00e4\u00e4 mik\u00e4 tahansa yritys ladata valmiita binaaripaketteja serverid<\/a>, hy\u00f6kk\u00e4\u00e4j\u00e4n hallitsemalta palvelimelta. T\u00e4ss\u00e4 tapauksessa haitallinen server<\/a> ei pea olema kasutaja seadetes selgelt m\u00e4\u00e4ratud ega valitud \u2014 see v\u00f5ib olla m\u00e4\u00e4ratud valiku \u201e\u2014discover\u201c abil, mis v\u00f5imaldab serveri asendust MITM-r\u00fcnnaku k\u00e4igus. Konfiguratsioonides, kus guix-daemon t\u00f6\u00f6tab suurenenud privileegidega, v\u00f5ib kohalik kasutaja r\u00fcnnata, kui tal on juurdep\u00e4\u00e4s taustprotsessile Unix-soketi kaudu (mis on vaikimisi k\u00f5igi kasutajate jaoks kergesti ligip\u00e4\u00e4setav). <\/p>\n

Haavatavus esineb k\u00e4sitlejas \u201erestore-file\u201c, mida kasutatakse paketi laadimise ajal pakkide vabastamiseks, nendega ootamata, kuni see on t\u00e4ielikult allalaaditud ja allalaaditud arhiivi on kontrollitud digitaalse allkirja abil. Probleem tuleneb sellest, et ei kontrollita, kas arhiivis olevates failiteedes on s\u00fcmbolid \u201e.\u201c. \u201e\/\u201c ja \u201e..\u201c. R\u00fcnnak v\u00f5ib saavutada, et vale failinime asendamise kaudu arhiivis kirjutatakse juhuslik fail mis tahes failis\u00fcsteemi piirkonda, kui selle \u00f5igused lubavad seda guix-daemoni taustprotsessi k\u00e4itades. <\/p>\n

Koodi t\u00e4itmise organiseerimiseks s\u00fcsteemis v\u00f5ib n\u00e4iteks lisada automaatselt k\u00e4ivituva skripti, nagu \u201e~\/.bashrc\u201c v\u00f5i \u201e~\/.profile\u201c, v\u00f5i muuta faili \u201e~\/.ssh\/authorized_keys\u201c SSH-v\u00f5tmetega. Kui mitme kasutajaga s\u00fcsteemis guix-daemon t\u00f6\u00f6tab root-kasutajana, v\u00f5ib r\u00fcndaja \u00fcle kirjutada paroolifaili v\u00f5i s\u00fcsteemi skripte. <\/p>\n

Asjade loomisv\u00f5ime tagamine pahavara levitamiseks tuleneb sellest, et metaandmete (narinfo) laadimisprotsess, mis puudutab kergesti k\u00e4ttesaadavaid binaarpakette (fetch-narinfos), ei kontrollinud serveri sertifikaati, toetudes sellele, et enamik metaandmetest on allkirjastatud digitaalselt. Nagu selgus, ei h\u00f5lmanud allkiri paketi laadimise URL-i, mis v\u00f5imaldas seda muuta ilma metaandmete terviklikkust rikkumata. L\u00f5puks oleks vale pakett k\u00f5rvale heidetud, kuna selle sisu ei l\u00e4binud digitaalselt allkirjastatud rippmen\u00fc\u00fcsse, kuid seda kontrollimist tehti p\u00e4rast failide lahtipakkimist, kus ilmnes probleem erim\u00e4rkidega failinimistest. <\/p>\n

Lisaks k\u00e4sule \u201eguix substitute\u201c on haavatav k\u00e4sitleja \u201erestore-file\u201c seotud k\u00e4skudega \u201eguix offload\u201c, \u201eguix archive \u2014extract\u201c ja \u201eguix challenge\u201c, mille kaudu on samuti v\u00f5imalik haavatavust \u00e4ra kasutada. Haavatavuse blokeerimise vahemeetmena soovitatakse igas guix-k\u00e4skluses selgelt m\u00e4\u00e4rata valik \u201e\u2014no-substitutes\u201c. Haavatavuse parandus on lisatud Guixi koodibaasi. Kasutajatele soovitatakse viivitamatult installida arendajate poolt loodud uuendused guix ja guix-daemon. <\/p>\n

Lisaks mainitud probleemile on Guixis k\u00f5rvaldatud veel kolm haavatavust: <\/p>\n