{"id":138218,"date":"2025-06-25T17:11:58","date_gmt":"2025-06-25T15:11:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-paketnyh-menedzherah-nix-lix-i-guix"},"modified":"2025-06-25T17:11:58","modified_gmt":"2025-06-25T15:11:58","slug":"uyazvimosti-v-paketnyh-menedzherah-nix-lix-i-guix","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimosti-v-paketnyh-menedzherah-nix-lix-i-guix","title":{"rendered":"Kwetsbaarheden in de pakketbeheerders Nix, Lix en Guix","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de pakketbeheerders GNU Guix, Nix en Lix zijn kwetsbaarheden (Nix, Guix, Lix) vastgesteld die het mogelijk maken om code uit te voeren met de rechten van de gebruikers waaronder de bouwopdrachten worden uitgevoerd (bijvoorbeeld nixbld* in Nix\/Lix). Dit kan worden gebruikt om eigen gegevens te schrijven naar de bouwomgeving en wijzigingen aan te brengen in het bouwproces. De problemen zijn aanwezig in de achtergrondprocessen guix-daemon en nix-daemon, die worden gebruikt om niet-geprivilegieerde gebruikers toegang te verlenen tot bouwoperaties. <\/p>\n
Kwetsbaarheden worden veroorzaakt doordat bij het uitvoeren van bepaalde bewerkingen voor toegang tot tijdelijke build-mappen niet dirfd-descriptors werden gebruikt, maar volledige bestandslocaties, waardoor het mogelijk was om de build-map te vervangen die in de hi\u00ebrarchie \/tmp is geplaatst (bijvoorbeeld '\/tmp\/guix-build-PACKAGE-X.Y.drv-0'). Onjuist gebruik van dirfd in de functie voor recursieve verwijdering leidde tot een race-conditie, waardoor een aanvaller een symbolische link kon invoegen tussen de creatie en de wijziging van de eigenaar van de build-map. Bij een succesvolle aanval wijzigde guix-daemon\/nix-daemon in plaats van de gebruiker voor de build-map te veranderen de eigenaar voor het bestand dat door de symbolische link werd aangesproken. <\/p>\n
De kwetsbaarheden zijn verholpen in de updates Lix 2.93, Nix 2.29 en Guix 1.4.0-38.0e79d5b. Om de kwetsbaarheden te exploiteren, moet een aanvaller in staat zijn om willekeurige bouwtaken uit te voeren. Voor een aanval met behulp van kwetsbaarheid CVE-2025-46415 is het voldoende om bestanden te kunnen aanmaken in de map \/tmp op de bouwmachine, en voor kwetsbaarheid CVE-2025-46416 is het nodig om code te kunnen uitvoeren in de context van de hoofd user ID namespace (pid namespace) en netwerk namespace. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"