{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"Vulnerabilit\u00e0 nel gestore di pacchetti Guix, che consente l'esecuzione remota di codice sul sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sono state rilevate vulnerabilit\u00e0 nel gestore di pacchetti Guix (CVE non assegnati) nell'implementazione del comando interno \u00abguix substitute\u00bb, invocato automaticamente dal processo in background guix-daemon durante le operazioni di installazione dei pacchetti. Questo comando \u00e8 utilizzato per scaricare pacchetti binari gi\u00e0 compilati da server esterni, verificandone l'integrit\u00e0 tramite una firma digitale. La vulnerabilit\u00e0 pi\u00f9 grave consente l'esecuzione remota di codice sul sistema dell'utente con i privilegi con cui viene eseguito il processo in background guix-daemon. <\/p>\n

Il problema riguarda tutte le configurazioni con il processo guix-daemon, indipendentemente dal fatto che venga eseguito con i diritti di root o da un utente non privilegiato. Per sfruttare la vulnerabilit\u00e0 \u00e8 sufficiente qualsiasi tentativo di scaricare pacchetti binari pronti da server<\/a>, controllato dall'attaccante. In questo caso, il codice dannoso un server<\/a> non deve necessariamente essere esplicitamente scelto o specificato nelle impostazioni dell'utente \u2014 pu\u00f2 essere definito tramite l'opzione \u00ab--discover\u00bb, consentendo la sostituzione del server durante un attacco MITM. Nelle configurazioni in cui guix-daemon \u00e8 avviato con privilegi elevati, un utente locale pu\u00f2 condurre un attacco se ha la possibilit\u00e0 di connettersi al processo in background tramite socket Unix (di default accessibile a tutti gli utenti). <\/p>\n

La vulnerabilit\u00e0 \u00e8 presente nel gestore \u00abrestore-file\u00bb, utilizzato per la decompressione durante il caricamento del pacchetto, senza attendere il caricamento completo e la verifica dell'archivio caricato tramite firma digitale. Il problema \u00e8 causato dalla mancanza di verifica della presenza dei caratteri \u00ab.\u00bb, \u00ab\/\u00bb e \u00ab..\u00bb nei percorsi dei file contenuti nell'archivio. Attraverso la sostituzione di nomi di file non corretti nell'archivio, un attaccante pu\u00f2 ottenere la scrittura di un file arbitrario in qualsiasi area del file system, a seconda dei privilegi con cui viene eseguito il processo in background guix-daemon. <\/p>\n

Per eseguire il proprio codice nel sistema, ad esempio, si pu\u00f2 aggiungere uno script di avvio automatico, come \u00ab~\/bashrc\u00bb o \u00ab~\/profile\u00bb, oppure modificare il file \u00ab~\/.ssh\/authorized_keys\u00bb con le chiavi SSH. Se nel sistema multi-utente guix-daemon viene eseguito con l'utente root, un attaccante pu\u00f2 sovrascrivere il file delle password o degli script di sistema. <\/p>\n

La possibilit\u00e0 di creare server proxy per la diffusione di pacchetti dannosi \u00e8 dovuta al fatto che la procedura di download dei metadati (narinfo) sui pacchetti binari disponibili (fetch-narinfos) non eseguiva il controllo del certificato del server, facendo affidamento sul fatto che la maggior parte dei metadati fosse firmata digitalmente. Si \u00e8 scoperto che la firma non copriva l'URL per il download del pacchetto, il che permetteva di sostituirlo senza compromettere l'integrit\u00e0 dei metadati. Alla fine, il pacchetto sostitutivo sarebbe stato scartato a causa del fallimento della verifica del suo contenuto tramite hash, firmato digitalmente, ma tale verifica avveniva dopo la fase di estrazione, in cui si manifestava il problema con i caratteri speciali nei nomi dei file. <\/p>\n

Oltre al comando \u00abguix substitute\u00bb, il gestore vulnerabile \u00abrestore-file\u00bb \u00e8 coinvolto nel funzionamento dei comandi \u00abguix offload\u00bb, \u00abguix archive \u2014extract\u00bb e \u00abguix challenge\u00bb, attraverso i quali \u00e8 possibile sfruttare la vulnerabilit\u00e0. Come soluzione per bloccare la vulnerabilit\u00e0, si consiglia di specificare esplicitamente l'opzione \u00ab--no-substitutes\u00bb in tutti i comandi guix. La correzione della vulnerabilit\u00e0 \u00e8 stata incorporata nella base di codice di Guix. Si raccomanda agli utenti di installare immediatamente gli aggiornamenti forniti dagli sviluppatori per guix e guix-daemon. <\/p>\n

Oltre al problema segnalato, sono state risolte altre tre vulnerabilit\u00e0 in Guix: <\/p>\n