פגיעות במנהל החבילות של GNU Guix

במנהל החבילות מדריך גנו מזוהה פגיעות (CVE-2019-18192), המאפשר להפעיל קוד בהקשר של משתמש אחר. הבעיה מתרחשת בתצורות Guix מרובות משתמשים ונגרמת כתוצאה מהגדרה שגויה של זכויות גישה לספריית המערכת עם פרופילי משתמש.

כברירת מחדל, פרופילי משתמש ~/.guix-profile מוגדרים כקישורים סמליים לספריית /var/guix/profiles/per-user/$USER. הבעיה היא שההרשאות בספריית /var/guix/profiles/per-user/ מאפשרות לכל משתמש ליצור ספריות משנה חדשות. תוקף יכול ליצור ספרייה עבור משתמש אחר שעדיין לא התחבר ולארגן את הפעלת הקוד שלו (/var/guix/profiles/per-user/$USER קיים במשתנה PATH, והתוקף יכול למקם קבצי הפעלה בספרייה זו שתבוצע בזמן שהקורבן פועל במקום קבצי הפעלה של המערכת).

מקור: OpenNet.ru