È stata individuata una vulnerabilità nei gestori di pacchetti Nix e Lix, che consente l'esecuzione di codice con i diritti di un processo in background, eseguito in NixOS e installazioni multiutente sotto l'utente root. Il problema (CVE non assegnato) si manifesta nel processo in background nix-daemon, utilizzato per consentire l'accesso agli utenti non privilegiati alle operazioni di compilazione e allo store dei pacchetti.
La vulnerabilità deriva dalla mancanza di limitazioni nella gestione ricorsiva delle directory nel codice per l'analisi degli archivi NAR (Nix Archive), che può essere sfruttata per provocare un esaurimento dello stack delle coroutine e sovrascrivere il contenuto dell'heap memorizzato dopo lo stack senza pagine di protezione della memoria. Il problema può essere sfruttato da qualsiasi utente in grado di stabilire connessioni al nix-daemon. Per impostazione predefinita, tutti gli utenti hanno questa possibilità, il che consente loro di elevare i propri privilegi fino all'utente root in installazioni multiutente di Nix.
Il problema è stato risolto limitando il livello di ricorsione a 64 directory annidate, aggiungendo pagine di protezione della memoria tra stack e heap e implementando controlli aggiuntivi per i collegamenti simbolici negli NAR. In Nix, la vulnerabilità si manifesta a partire dalla versione 2.24.4 ed è stata corretta nelle versioni 2.34.7, 2.33.6, 2.32.8, 2.31.5, 2.30.5, 2.29.4, 2.28.7. In Lix la vulnerabilità è comparsa nella versione 2.93.0 ed è stata corretta negli aggiornamenti 2.93.4, 2.94.2 e 2.95.2. Il gestore di pacchetti Guix non è interessato dalla vulnerabilità.
Inoltre, negli aggiornamenti pubblicati di Nix è stata corretta un'altra vulnerabilità (CVE non presente), classificata con un livello di gravità medio (4.3 su 10). Il problema si manifesta a partire dalla versione 2.24.7 di Nix e consente di scrivere file in aree al di fuori della directory radice, in cui avviene l'estrazione dell'archivio. La vulnerabilità viene sfruttata tramite la creazione in file tar di elementi con percorsi file assoluti. Quando si estraggono questi archivi con il comando "nix-prefetch-url —unpack" o "nix store prefetch-file —unpack", i file con percorsi assoluti vengono estratti così come sono, senza la conversione in un percorso relativo.
Fonte: opennet.ru
