Het GNU-project heeft de release van de teksteditor GNU Emacs 29.4 gepubliceerd. De code van het project is geschreven in C en Lisp en wordt verspreid onder de GPLv3-licentie. GNU Emacs 29.4 wordt gepresenteerd als een spoedrelease om een kwetsbaarheid (CVE nog niet toegewezen) te verhelpen. Details over de kwetsbaarheid worden nog niet onthuld; het is alleen aangegeven dat het uitvoeren van willekeurige shell-commando's is verboden wanneer de Org-modus is ingeschakeld om de kwetsbaarheid te blokkeren. Blijkbaar kan de kwetsbaarheid leiden tot het uitvoeren van code bij het openen van bepaalde inhoud in Emacs of bij het bekijken van speciaal opgemaakte berichten in de e-mail/RSS/NNTP-client Gnus, die bij Emacs is inbegrepen.
Aanvulling: Een voorbeeld van een org-bestand is gepubliceerd, waarvan het openen in Emacs het uitvoeren van shell-commando's oproept. Om de kwetsbaarheid te misbruiken, kan een dergelijk bestand ook aan een e-mail worden gehecht en zal het worden uitgevoerd bij het voorvertonen in Emacs.
#+LINK: shell %(shell-command-to-string)
[[shell:touch ~/hacked.txt]]
Bron: opennet.ru
