Er is een correctieve release 3.6.2 van de interactieve commandoregel-schaal fish met een oplossing voor een kwetsbaarheid CVE-2023-49284.
fish shell gebruikt bepaalde Unicode-tekens voor interne markering van wildcards en extensies. Deze verkeerde aanpak maakte het mogelijk om deze tekens in de uitvoer van commandovervangingen te lezen, in plaats van ze om te zetten naar een veilige interne voorstelling.
Hoewel dit onverwacht gedrag kan veroorzaken bij directe invoer (bijvoorbeeld, echo UFDD2HOME heeft dezelfde uitvoer als echo $HOME), kan dit een kleine beveiligingsproblemen vormen als de uitvoer afkomstig is van een extern programma in commandovervangingen, waar zulke uitvoer niet verwacht kan worden.
Dit ontwerpgebrek kwam voor in de vroegste versies van fish, nog voor het versiebeheersysteem bestond, en wordt verondersteld aanwezig te zijn in elke versie van fish die in de afgelopen 15 jaar of meer is uitgebracht, zij het met verschillende symbolen.
Code-uitvoering is niet mogelijk, maar een DoS-aanval (door het onthullen van een groot aantal haakjes) of informatielek (bijvoorbeeld via variabele expansie) is potentieel mogelijk onder bepaalde omstandigheden.
In versie 3.6.3 zijn alleen de tests gecorrigeerd.
Bron: linux.org.ru
