A Guix csomagkezel\u0151ben ismert sebezhet\u0151s\u00e9gek (CVE nem el\u00e9rhet\u0151) tal\u00e1lhat\u00f3k a «guix substitute» bels\u0151 parancs megval\u00f3s\u00edt\u00e1s\u00e1ban, amelyet a guix-daemon h\u00e1tt\u00e9rfolyamat automatikusan h\u00edv meg a csomagtelep\u00edt\u00e9si m\u0171veletek v\u00e9grehajt\u00e1sa sor\u00e1n. Ez a parancs m\u00e1r el\u0151\u00e1ll\u00edtott bin\u00e1ris csomagok external szerverekt\u0151l t\u00f6rt\u00e9n\u0151 let\u00f6lt\u00e9s\u00e9re szolg\u00e1l, az integrit\u00e1suk digit\u00e1lis al\u00e1\u00edr\u00e1s alapj\u00e1n t\u00f6rt\u00e9n\u0151 ellen\u0151rz\u00e9s\u00e9vel. A legvesz\u00e9lyesebb sebezhet\u0151s\u00e9g lehet\u0151v\u00e9 teszi, hogy a t\u00e1mad\u00f3 t\u00e1volr\u00f3l k\u00f3dv\u00e9grehajt\u00e1st ind\u00edtson a felhaszn\u00e1l\u00f3 rendszer\u00e9n, azzal a joggal, amely alatt a guix-daemon h\u00e1tt\u00e9rfolyamat fut. <\/p>\n
A probl\u00e9ma minden guix-daemon folyamattal rendelkez\u0151 konfigur\u00e1ci\u00f3t \u00e9rint, f\u00fcggetlen\u00fcl att\u00f3l, hogy root jogosults\u00e1ggal vagy nem privilegiz\u00e1lt felhaszn\u00e1l\u00f3k\u00e9nt fut-e. A sebezhet\u0151s\u00e9g kihaszn\u00e1l\u00e1s\u00e1hoz elegend\u0151 b\u00e1rmilyen k\u00eds\u00e9rlet a k\u00e9sz bin\u00e1ris csomagok let\u00f6lt\u00e9s\u00e9re a a szerver<\/a>, a t\u00e1mad\u00f3 \u00e1ltal ir\u00e1ny\u00edtott helyr\u0151l. A k\u00e1rt\u00e9kony szerver<\/a> nem sz\u00fcks\u00e9ges, hogy kifejezetten ki legyen v\u00e1lasztva vagy meg legyen adva a felhaszn\u00e1l\u00f3i be\u00e1ll\u00edt\u00e1sokban — defini\u00e1lhat\u00f3 a «—discover» opci\u00f3 seg\u00edts\u00e9g\u00e9vel, amely lehet\u0151v\u00e9 teszi a szerver behelyettes\u00edt\u00e9s\u00e9t egy MITM-t\u00e1mad\u00e1s sor\u00e1n. Olyan konfigur\u00e1ci\u00f3kban, ahol a guix-daemon emelt jogokkal fut, a helyi felhaszn\u00e1l\u00f3 t\u00e1mad\u00e1st v\u00e9gezhet, ha csatlakoz\u00e1si lehet\u0151s\u00e9ge van a h\u00e1tt\u00e9rfolyamathoz Unix-socketen (Alap\u00e9rtelmez\u00e9s szerint minden felhaszn\u00e1l\u00f3 sz\u00e1m\u00e1ra el\u00e9rhet\u0151). <\/p>\n A sebezhet\u0151s\u00e9g a «restore-file» feldolgoz\u00f3ban tal\u00e1lhat\u00f3, amely a csomag let\u00f6lt\u00e9se k\u00f6zben v\u00e9grehajtott kicsomagol\u00e1sra szolg\u00e1l an\u00e9lk\u00fcl, hogy megv\u00e1rn\u00e1 a csomag teljes let\u00f6lt\u00e9s\u00e9t \u00e9s az archiv\u00e1lt f\u00e1jl digit\u00e1lis al\u00e1\u00edr\u00e1s szerinti ellen\u0151rz\u00e9s\u00e9t. A probl\u00e9ma a «.», «\\\/» \u00e9s «..» karakterek el\u00e9rhet\u0151s\u00e9g\u00e9nek ellen\u0151rz\u00e9s\u00e9nek hi\u00e1ny\u00e1b\u00f3l fakad az arch\u00edvumban tal\u00e1lhat\u00f3 f\u00e1jlnevek \u00fatvonalain. A t\u00e1mad\u00f3 egy archiv\u00e1lt f\u00e1jl nem megfelel\u0151 nev\u00e9nek behelyettes\u00edt\u00e9s\u00e9vel tetsz\u0151leges f\u00e1jl \u00edr\u00e1s\u00e1ra k\u00e9nyszer\u00edtheti a f\u00e1jlrendszer b\u00e1rmely ter\u00fclet\u00e9re, amennyire csak megengedett a guix-daemon h\u00e1tt\u00e9rfolyamat jogai alapj\u00e1n. <\/p>\n A rendszerben t\u00f6rt\u00e9n\u0151 k\u00f3d v\u00e9grehajt\u00e1s\u00e1nak el\u0151seg\u00edt\u00e9se \u00e9rdek\u00e9ben p\u00e9ld\u00e1ul autostart szkriptet adhatunk hozz\u00e1, mint p\u00e9ld\u00e1ul «~\\ .bashrc» vagy ~\\ .profile, vagy m\u00f3dos\u00edthatjuk a ~\\\/ .ssh\\\/authorized_keys f\u00e1jlt SSH-kulcsokkal. Ha a guix-daemon egy t\u00f6bbfelhaszn\u00e1l\u00f3s rendszerben root felhaszn\u00e1l\u00f3k\u00e9nt fut, a t\u00e1mad\u00f3 fel\u00fcl\u00edrhatja a jelsz\u00f3f\u00e1jlt vagy a rendszer szkriptjeit. <\/p>\n A hamis szerverek l\u00e9trehoz\u00e1s\u00e1nak lehet\u0151s\u00e9ge a rosszindulat\u00fa csomagok terjeszt\u00e9s\u00e9re abb\u00f3l ad\u00f3dik, hogy a rendelkez\u00e9sre \u00e1ll\u00f3 bin\u00e1ris csomagok metainform\u00e1ci\u00f3inak (narinfo) let\u00f6lt\u00e9si folyamata (fetch-narinfos) nem ellen\u0151rizte a szerver tan\u00fas\u00edtv\u00e1ny\u00e1t, b\u00edzva abban, hogy a metainform\u00e1ci\u00f3k t\u00f6bbs\u00e9g\u00e9t digit\u00e1lis al\u00e1\u00edr\u00e1s hiteles\u00edti. Mint kider\u00fclt, az al\u00e1\u00edr\u00e1s nem terjedt ki a csomag let\u00f6lt\u00e9si URL-j\u00e9re, \u00edgy azt an\u00e9lk\u00fcl lehetett manipul\u00e1lni, hogy a metainform\u00e1ci\u00f3k \u00e9ps\u00e9ge s\u00e9r\u00fclt volna. V\u00e9gs\u0151 soron a hamis csomagot elutas\u00edtott\u00e1k volna, mert a digit\u00e1lis al\u00e1\u00edr\u00e1ssal hiteles\u00edtett hash ellen\u0151rz\u00e9se nem teljes\u00fclt, de ez az ellen\u0151rz\u00e9s a kib\u0151v\u00edtett\u00e9k sor\u00e1n, ahol a f\u00e1jlnevekben a speci\u00e1lis karakterekkel kapcsolatos probl\u00e9ma mer\u00fclt fel. <\/p>\n A «guix substitute» parancson k\u00edv\u00fcl a sebezhet\u0151 «restore-file» kezel\u0151 a «guix offload», «guix archive —extract» \u00e9s «guix challenge» parancsokban is haszn\u00e1latban van, amelyeken kereszt\u00fcl szint\u00e9n ki lehet zs\u00e1km\u00e1nyolni a sebezhet\u0151s\u00e9get. A sebezhet\u0151s\u00e9g blokkol\u00e1s\u00e1nak ker\u00fcl\u0151 megold\u00e1sak\u00e9nt javasolt a «—no-substitutes» opci\u00f3 k\u00e9nyszer\u00edtett megad\u00e1sa minden guix parancsban. A sebezhet\u0151s\u00e9g jav\u00edt\u00e1sa a Guix k\u00f3dalap r\u00e9sz\u00e9v\u00e9 v\u00e1lt. A felhaszn\u00e1l\u00f3knak javasolt azonnal telep\u00edteni\u00fck a fejleszt\u0151k \u00e1ltal k\u00e9sz\u00edtett friss\u00edt\u00e9seket a guix \u00e9s guix-daemon programokhoz. <\/p>\n A Guix eml\u00edtett probl\u00e9m\u00e1ja mellett tov\u00e1bbi h\u00e1rom sebezhet\u0151s\u00e9get is megsz\u00fcntettek: <\/p>\n\n