GNU Guix पॅकेज मॅनेजरमध्ये भेद्यता

पॅकेज मॅनेजरमध्ये GNU मार्गदर्शक ओळखले भेद्यता (CVE-2019-18192), जे कोड दुसर्‍या वापरकर्त्याच्या संदर्भात अंमलात आणण्याची परवानगी देते. समस्या बहु-वापरकर्ता Guix कॉन्फिगरेशनमध्ये उद्भवते आणि वापरकर्ता प्रोफाइलसह सिस्टम निर्देशिकेत प्रवेश अधिकार चुकीच्या सेट केल्यामुळे उद्भवते.

पूर्वनिर्धारितपणे, ~/.guix-प्रोफाइल वापरकर्ता प्रोफाइलला /var/guix/profiles/per-user/$USER निर्देशिकेशी प्रतीकात्मक दुवे म्हणून परिभाषित केले जाते. अडचण अशी आहे की /var/guix/profiles/per-user/ डिरेक्ट्रीवरील परवानग्या कोणत्याही वापरकर्त्यास नवीन उपडिरेक्टरी तयार करण्यास परवानगी देतात. आक्रमणकर्ता दुसर्‍या वापरकर्त्यासाठी निर्देशिका तयार करू शकतो ज्याने अद्याप लॉग इन केले नाही आणि त्याचा कोड चालवण्याची व्यवस्था करू शकतो (/var/guix/profiles/per-user/$USER PATH व्हेरिएबलमध्ये उपस्थित आहे आणि आक्रमणकर्ता एक्झिक्युटेबल फाइल्स ठेवू शकतो. या निर्देशिकेत जी सिस्टीम एक्झिक्युटेबल फाइल्सऐवजी पीडित चालू असताना कार्यान्वित केली जाईल).

स्त्रोत: opennet.ru