Megjelent a fish interaktív parancssori környezetének 3.6.2-es korrekciós kiadása, amely javítja a sérülékenységet. CVE-2023-49284.
A fish shell bizonyos Unicode karaktereket használ belső helyettesítési címkékhez és kiterjesztésekhez. Ez a hibás megközelítés lehetővé tette ezeknek a karaktereknek az olvasását a parancshelyettesítési kimenetben, ahelyett, hogy biztonságos belső reprezentációra alakítanák őket.
Bár ez váratlan viselkedést okozhat közvetlen bevitel során (például az echo UFDD2HOME ugyanazt a kimenetet adja, mint az echo $HOME), ez biztonsági kockázatot jelenthet, ha a kimenetet egy külső program biztosítja a parancshelyettesítésben, ahol az ilyen kimenet nem várható.
Ez a tervezési hiba a fish korai verzióiban jelent meg, még a verziókezelő rendszer megjelenése előtt, és úgy vélik, hogy minden olyan fish verzióban jelen van, amely az utolsó 15 évben vagy annál régebben megjelent, habár különböző karakterekkel.
Kódvégrehajtás nem lehetséges, de DoS-támadás (a zárójelek nagy mennyiségének felfedésével) vagy információs szivárgás (például változók kiterjesztésén keresztül) potenciálisan előfordulhat bizonyos körülmények között.
A 3.6.3-as verzióban csak a tesztek javítva lettek.
Forrás: linux.org.ru
