È stato rilasciato un aggiornamento correttivo 3.6.2 della shell interattiva fish con la correzione di una vulnerabilità. CVE-2023-49284.
La shell fish utilizza alcuni caratteri Unicode per la marcatura interna dei caratteri jolly e delle espansioni. Questo approccio errato consentiva la lettura di questi caratteri nell'output della sostituzione dei comandi, invece di convertirli in una rappresentazione interna sicura.
Sebbene ciò possa causare un comportamento imprevisto durante l'input diretto (ad esempio, echo UFDD2HOME produce lo stesso output di echo $HOME), potrebbe costituire un problema di sicurezza insignificante se l'output proviene da un programma esterno nella sostituzione dei comandi, dove tale output potrebbe non essere atteso.
Questo difetto di progettazione è emerso nelle versioni più antiche di fish, anche prima dell'introduzione del sistema di controllo versione, e si ritiene che sia presente in ogni versione di fish rilasciata negli ultimi 15 anni o più, sebbene con caratteri diversi.
L'esecuzione di codice non è possibile, ma un attacco DoS (attraverso la rivelazione di un gran numero di parentesi) o la divulgazione di informazioni (ad esempio, tramite l'espansione delle variabili) sono potenzialmente possibili in determinate circostanze.
Nella versione 3.6.3 sono stati corretti solo i test.
Fonte: linux.org.ru
