תיקון לגרסה 3.6.2 של המעטפת האינטראקטיבית של fish שוחרר, ומתקן פגיעות. CVE-2023-49284.
קליפת הדג משתמשת בכמה תווי יוניקוד באופן פנימי כדי לסמן תווים כלליים והרחבות. גישה שגויה זו אפשרה לקרוא תווים אלה בפלט של החלפות פקודות, במקום להמיר אותם לייצוג פנימי בטוח.
אמנם הדבר עלול לגרום להתנהגות בלתי צפויה בעת הזנה ישירה (למשל, ל-echo UFDD2HOME יש את אותו הפלט כמו ל-echo $HOME), אך הדבר עלול להפוך לבעיית אבטחה מינורית אם הפלט מוזן מתוכנית חיצונית להחלפת פקודות, כאשר פלט כזה לא צפוי.
פגם עיצובי זה הופיע בגרסאות המוקדמות ביותר של fish, לפני שקיימת בקרת גרסאות, ומאמינים שהוא קיים בכל גרסה של fish שיצאה ב-15 השנים האחרונות או יותר, אם כי עם סמלים שונים.
ביצוע קוד אינו אפשרי, אך מתקפת DoS (באמצעות הרחבת סוגריים גדולים) או חשיפת מידע (למשל, באמצעות הרחבת משתנה) הן אפשריות בנסיבות מסוימות.
בגרסה 3.6.3 תוקנו רק הבדיקות.
מקור: linux.org.ru
