{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"Una vulnerabilit\u00e0 nel gestore pacchetti Guix consente l'esecuzione remota di codice nel sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nel gestore di pacchetti Guix sono state rilevate vulnerabilit\u00e0 (CVE non assegnate) nell'implementazione del comando interno «guix substitute», automaticamente invocato dal processo in background guix-daemon durante l'esecuzione delle operazioni di installazione dei pacchetti. Il comando viene utilizzato per scaricare pacchetti binari gi\u00e0 compilati da server esterni, verificandone l'integrit\u00e0 mediante firma digitale. La vulnerabilit\u00e0 pi\u00f9 critica consente l'esecuzione remota di codice sul sistema dell'utente con i privilegi con cui \u00e8 in esecuzione il processo in background guix-daemon. <\/p>\n

Il problema interessa tutte le configurazioni con il processo guix-daemon, indipendentemente dal fatto che venga avviato con i privilegi di root o con un utente non privilegiato. Per sfruttare la vulnerabilit\u00e0 \u00e8 sufficiente qualsiasi tentativo di scaricare pacchetti binari pronti da server<\/a>, sotto il controllo dell'attaccante. In questo caso, il malintenzionato server<\/a> non deve necessariamente essere esplicitamente selezionato o specificato nelle impostazioni utente — pu\u00f2 essere definito attraverso l'opzione «—discover», che consente di sostituire il server durante un attacco MITM. Nelle configurazioni in cui guix-daemon \u00e8 eseguito con privilegi elevati, un utente locale pu\u00f2 effettuare un attacco se ha la possibilit\u00e0 di connettersi al processo in background tramite socket Unix (di default accessibile a tutti gli utenti). <\/p>\n

La vulnerabilit\u00e0 \u00e8 presente nel gestore «restore-file», utilizzato per decomprimere durante il caricamento del pacchetto, senza attendere il completamento del caricamento e la verifica dell'archivio caricato tramite firma digitale. Il problema \u00e8 causato dall'assenza di controlli per i caratteri «.», «\\\/» e «..» nei percorsi dei file presenti nell'archivio. Attraverso la sostituzione di nomi di file non validi nell'archivio, l'attaccante pu\u00f2 ottenere la scrittura di un file arbitrario in qualsiasi area del file system, nei limiti dei privilegi con cui \u00e8 in esecuzione il processo in background guix-daemon. <\/p>\n

Per eseguire il proprio codice nel sistema, ad esempio, si pu\u00f2 aggiungere uno script di avvio automatico, come «~\\\/bashrc» o ~\\\/profile, oppure modificare il file ~\\\/ssh\\\/authorized_keys con le chiavi SSH. Se in un sistema multiutente guix-daemon \u00e8 eseguito sotto l'utente root, l'attaccante pu\u00f2 sovrascrivere il file contenente le password o script di sistema. <\/p>\n

La possibilit\u00e0 di creare server di proxy per la distribuzione di pacchetti dannosi \u00e8 stata causata dal fatto che la procedura di caricamento dei metadati (narinfo) sui pacchetti binari disponibili (fetch-narinfos) non effettuava la verifica del certificato del server, facendo affidamento sul fatto che la maggior parte dei metadati fosse firmata digitalmente. Come si \u00e8 rivelato, la firma non copriva l'URL per il caricamento del pacchetto, il che consentiva di sostituirlo senza compromettere l'integrit\u00e0 dei metadati. Alla fine, il pacchetto di proxy sarebbe stato scartato a causa della mancata verifica del suo contenuto tramite l'hash firmato digitalmente, ma questa verifica veniva effettuata dopo la fase di estrazione, nella quale emergeva il problema con i caratteri speciali nei nomi dei file. <\/p>\n

Oltre al comando «guix substitute», il gestore vulnerabile «restore-file» \u00e8 utilizzato anche nei comandi «guix offload», «guix archive —extract» e «guix challenge», attraverso i quali \u00e8 possibile sfruttare la vulnerabilit\u00e0. Come soluzione alternativa per bloccare la vulnerabilit\u00e0, si consiglia di specificare esplicitamente l'opzione «—no-substitutes» in tutti i comandi guix. La correzione della vulnerabilit\u00e0 \u00e8 stata integrata nel codice sorgente di Guix. Si raccomanda agli utenti di installare immediatamente gli aggiornamenti forniti dagli sviluppatori per guix e guix-daemon. <\/p>\n

Oltre al problema evidenziato in Guix, sono state risolte altre tre vulnerabilit\u00e0: <\/p>\n