GNU Guix પેકેજ મેનેજરમાં નબળાઈ

પેકેજ મેનેજરમાં જી.એન.યુ. ગ્યુક્સ ઓળખાયેલ નબળાઈ (CVE-2019-18192), જે કોડને અન્ય વપરાશકર્તાના સંદર્ભમાં ચલાવવાની મંજૂરી આપે છે. સમસ્યા બહુ-વપરાશકર્તા ગુઇક્સ રૂપરેખાંકનોમાં થાય છે અને વપરાશકર્તા પ્રોફાઇલ્સ સાથે સિસ્ટમ ડિરેક્ટરીમાં ઍક્સેસ અધિકારોને ખોટી રીતે સેટ કરવાને કારણે થાય છે.

મૂળભૂત રીતે, ~/.guix-profile વપરાશકર્તા પ્રોફાઇલ્સને /var/guix/profiles/per-user/$USER ડિરેક્ટરીની સાંકેતિક લિંક્સ તરીકે વ્યાખ્યાયિત કરવામાં આવે છે. સમસ્યા એ છે કે /var/guix/profiles/per-user/ ડિરેક્ટરી પરની પરવાનગીઓ કોઈપણ વપરાશકર્તાને નવી સબડિરેક્ટરીઝ બનાવવા માટે પરવાનગી આપે છે. હુમલાખોર અન્ય વપરાશકર્તા માટે ડિરેક્ટરી બનાવી શકે છે જેણે હજુ સુધી લૉગ ઇન કર્યું નથી અને તેના કોડને ચલાવવા માટે ગોઠવી શકે છે (/var/guix/profiles/per-user/$USER એ PATH ચલમાં હાજર છે, અને હુમલાખોર એક્ઝિક્યુટેબલ ફાઇલો મૂકી શકે છે. આ ડિરેક્ટરીમાં કે જે એક્ઝેક્યુટ કરવામાં આવશે જ્યારે પીડિત સિસ્ટમ એક્ઝિક્યુટેબલ ફાઇલોને બદલે ચાલી રહ્યો હોય).

સોર્સ: opennet.ru