{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"Guixi paketihalduris avastatud haavatavus, mis v\u00f5imaldab s\u00fcsteemis kaugkoodi t\u00e4itmist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Guix paketihalduris on tuvastatud haavatavused (CVE pole m\u00e4\u00e4ratud) sisemise k\u00e4su «guix substitute» rakenduses, mis k\u00e4ivitatakse taustaprotsessi guix-daemon poolt pakettide installimise operatsioonide ajal. K\u00e4sk rakendab juba koostatute binaarpakettide allalaadimist v\u00e4liselt serverelt, kontrollides nende terviklikkust digitaalallkirja abil. Ohtlikim haavatavus v\u00f5imaldab kaugelt k\u00e4ivitada koodi kasutaja s\u00fcsteemis \u00f5igustega, millega taustaprotsess guix-daemon t\u00f6\u00f6tab. <\/p>\n

Probleem puudutab k\u00f5iki konfiguratsioone, kus t\u00f6\u00f6tab guix-daemon, olenemata sellest, kas see k\u00e4ivitatakse root-\u00f5igustes v\u00f5i madala prioriteediga kasutaja all. Haavatavuse \u00e4rakasutamiseks piisab igasugusest katsest alla laadida valmis binaarpakette, serverilt<\/a>, mis on r\u00fcndaja kontrolli all. Samuti ei pea pahavara tingimata olema selgelt valitud v\u00f5i m\u00e4\u00e4ratud kasutaja seadetes \u2014 see v\u00f5ib m\u00e4\u00e4rata valiku \u201e\u2014discover\u201c abil, mis v\u00f5imaldab serveri asendamist MITM-r\u00fcnnaku k\u00e4igus. Konfiguratsioonides, kus guix-daemon t\u00f6\u00f6tab k\u00f5rgendatud \u00f5igustes, v\u00f5ib kohalikke kasutajaid r\u00fcnnata, kui on v\u00f5imalik \u00fchenduda taustaprotsessiga Unix-soketi kaudu (mis on vaikimisi k\u00f5igile kasutajatele saadaval). server<\/a> ei pea olema selgelt valitud v\u00f5i m\u00e4\u00e4ratud kasutaja seadetes \u2014 see v\u00f5ib olla m\u00e4\u00e4ratud valiku «—discover» abil, mis v\u00f5imaldab serveri vahetamist MITM-r\u00fcnnaku k\u00e4igus. Konfiguratsioonides, kus guix-daemon t\u00f6\u00f6tab t\u00f5stetud privileegidega, v\u00f5ib lokaalne kasutaja r\u00fcnnata, kui tal on ligip\u00e4\u00e4s taustaprotsessile Unix-soketi kaudu (mis on vaikimisi juurdep\u00e4\u00e4setav k\u00f5igile kasutajatele). <\/p>\n

Haavatavus esineb «restore-file» t\u00f6\u00f6tlijas, mida rakendatakse paketi laadimise ajal lahti pakkimiseks, ootamata selle t\u00e4ielikku allalaadimist ja allalaaditud arhiivi digitaalallkirjaga verifitseerimist. Probleem tuleneb «.», «\\\/» ja «..» s\u00fcmbolite kontrolli puudumisest arhiivis paiknevates failiteedes. R\u00fcnnakute korral v\u00f5ib r\u00fcndaja arhiivi vigaste failinimede sisseviimisega saavutada arbitraarse faili kirjutamise igasse failis\u00fcsteemi ossa, s\u00f5ltuvalt \u00f5igustest, millega taustaprotsess guix-daemon t\u00f6\u00f6tab. <\/p>\n

Koodi t\u00e4itmiseks enda s\u00fcsteemis v\u00f5ib n\u00e4iteks lisada automaatselt k\u00e4ivitatava skripti nagu «~\\\/ .bashrc» v\u00f5i «~\\\/ .profile», v\u00f5i muuta faili «~\\\/ .ssh\\\/ authorized_keys» koos SSH v\u00f5tmetega. Kui mitme kasutajaga s\u00fcsteemis guix-daemon t\u00f6\u00f6tab root-kasutajana, v\u00f5ib r\u00fcndaja \u00fcle kirjutada paroolifaili v\u00f5i s\u00fcsteemiskriptid. <\/p>\n

Tehniline v\u00f5imalus luua valetserversid pahatahtlike paketide edastamiseks tulenes sellest, et metaandmete (narinfo) laadimise protseduur saadaolevate binaarsete pakettide (fetch-narinfos) kohta ei kontrollinud serveri sertifikaati, toetudes sellele, et peamine osa metaandmetest on allkirjastatud digitaalselt. Selgus, et allkiri ei h\u00f5lmanud paketi laadimise URL-i, mis v\u00f5imaldas selle asendada, rikkumata metaandmete terviklikkust. L\u00f5ppkokkuv\u00f5ttes oleks vale pakett k\u00f5rvaldada, kuna see ei vastanud selle sisu hash-kontrollile, mis oli digitaalselt allkirjastatud, kuid see kontroll toimus p\u00e4rast lahtipakkimise etappi, kus ilmnes probleem erim\u00e4rkide kasutamisel failinimedes. <\/p>\n

Lisaks k\u00e4sule «guix substitute» on haavatav k\u00e4itleja «restore-file» kaasatud k\u00e4skudele «guix offload», «guix archive —extract» ja «guix challenge», mille kaudu on samuti v\u00f5imalik haavatavust kasutada. Haavatavuse blokeerimise petmisena soovitatakse k\u00f5igis guix-k\u00e4skudes selgelt m\u00e4rkida valik «—no-substitutes». Haavatavus on sisse viidud Guixi koodibaasi. Kasutajatele soovitatakse viivitamatult installida arendajate v\u00e4lja antud uuendused guix ja guix-daemon. <\/p>\n

Peale tuvastatud probleemi on Guixis lahendatud veel kolm haavatavust: <\/p>\n