{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"Kwetsbaarheid in de pakketbeheerder Guix die op afstand uitvoeren van code in het systeem toestaat.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Er zijn kwetsbaarheden ontdekt in de pakketbeheerder Guix (CVE zijn niet toegewezen) in de implementatie van het interne commando «guix substitute», dat automatisch wordt opgeroepen door het achtergrondproces guix-daemon tijdens het uitvoeren van installatieoperaties. Dit commando wordt gebruikt om al samengestelde binaire pakketten van externe servers te downloaden, met controle van hun integriteit via digitale handtekeningen. De meest gevaarlijke kwetsbaarheid stelt een aanvaller in staat om op afstand code uit te voeren op het systeem van de gebruiker met de rechten waaronder het achtergrondproces guix-daemon draait. <\/p>\n

Het probleem heeft betrekking op alle configuraties met het guix-daemon-proces, ongeacht of dit wordt uitgevoerd met root-rechten of onder een niet-priviliged gebruiker. Voor het misbruiken van de kwetsbaarheid is het voldoende om een poging te doen om kant-en-klare binaire pakketten te downloaden van de server<\/a>, die door de aanvaller worden gecontroleerd. Daarbij hoeft de kwaadaardige server<\/a> hoeft niet expliciet te worden geselecteerd of aangegeven in de gebruikersinstellingen \u2014 het kan worden gedefinieerd met de optie «—discover», wat permet dat de server wordt vervangen tijdens een MITM-aanval. In configuraties waarin guix-daemon met verhoogde privileges draait, kan een lokale gebruiker een aanval uitvoeren als hij toegang heeft tot het achtergrondproces via een Unix-socket (standaard beschikbaar voor alle gebruikers). <\/p>\n

De kwetsbaarheid is aanwezig in de handler «restore-file», die wordt gebruikt om bestanden tijdens de pakketdownload uit te pakken, zonder te wachten op de volledige download en verificatie van het gedownloade archief via digitale handtekening. Het probleem wordt veroorzaakt door het ontbreken van controle op de aanwezigheid van de symbolen «.», «\\\/» en «..» in de bestandsnamen in het archief. Door ongeldige bestandsnamen in het archief te substitueren, kan de aanvaller een willekeurig bestand naar elke locatie in het bestandssysteem schrijven, afhankelijk van de rechten waaronder het achtergrondproces guix-daemon draait. <\/p>\n

Om code in het systeem uit te voeren, kan bijvoorbeeld een automatisch opstartend script worden toegevoegd, zoals «~\\\/ .bashrc» of ~\\\/ .profile, of het bestand ~\\\/ .ssh\\\/authorized_keys met SSH-sleutels worden aangepast. Als guix-daemon in een multi-gebruikerssysteem met de gebruiker root draait, kan de aanvaller het bestand met wachtwoorden of systeemscriptbestanden overschrijven. <\/p>\n

De mogelijkheid om vervangende servers te cre\u00ebren voor het verspreiden van schadelijke pakketten is ontstaan omdat de procedure voor het ophalen van metadata (narinfo) over beschikbare binaire pakketten (fetch-narinfos) geen servercertificaatcontrole uitvoerde, vertrouwend op het feit dat het grootste deel van de metadata werd ondertekend met een digitale handtekening. Het bleek dat de handtekening de URL voor het downloaden van het pakket niet dekte, waardoor deze kon worden vervalst zonder de integriteit van de metadata te schenden. Uiteindelijk zou het vervalste pakket worden afgewezen vanwege het niet doorstaan van de inhoudscontrole op basis van de hash, die werd ondertekend met de digitale handtekening, maar deze controle werd pas uitgevoerd na de uitpakfase, waarin het probleem met speciale tekens in bestandsnamen zich manifesteerde. <\/p>\n

Naast het commando «guix substitute», wordt de kwetsbare handler «restore-file» ook gebruikt in de commando's «guix offload», «guix archive —extract» en «guix challenge», waarmee de kwetsbaarheid ook kan worden ge\u00ebxploiteerd. Als een tijdelijke oplossing om de kwetsbaarheid te blokkeren, wordt voorgesteld om expliciet de optie «—no-substitutes» op te geven in alle guix-commando's. De kwetsbaarheid is gecorrigeerd in de codebasis van Guix. Gebruikers wordt aangeraden om onmiddellijk de door de ontwikkelaars vrijgegeven updates voor guix en guix-daemon te installeren. <\/p>\n

Naast het genoemde probleem zijn er nog drie kwetsbaarheden in Guix verholpen: <\/p>\n