GNU Guix 패키지 관리자의 취약점

패키지 관리자에서 GNU GUI 확인됨 취약점 (CVE-2019-18192), 다른 사용자의 컨텍스트에서 코드를 실행할 수 있습니다. 이 문제는 다중 사용자 Guix 구성에서 발생하며 사용자 프로필을 사용하여 시스템 디렉터리에 대한 액세스 권한을 잘못 설정하여 발생합니다.

기본적으로 ~/.guix-profile 사용자 프로필은 /var/guix/profiles/per-user/$USER 디렉터리에 대한 심볼릭 링크로 정의됩니다. 문제는 /var/guix/profiles/per-user/ 디렉토리에 대한 권한을 통해 모든 사용자가 새 하위 디렉토리를 생성할 수 있다는 것입니다. 공격자는 아직 로그인하지 않은 다른 사용자를 위한 디렉터리를 생성하고 그의 코드가 실행되도록 준비할 수 있습니다(/var/guix/profiles/per-user/$USER는 PATH 변수에 존재하며 공격자는 실행 파일을 배치할 수 있음) 시스템 실행 파일 대신 피해자가 실행되는 동안 실행될 이 디렉터리에 있음).

출처 : opennet.ru