{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"Vulnerabilno\u015b\u0107 w mened\u017cerze pakiet\u00f3w Guix, umo\u017cliwiaj\u0105ca zdalne wykonywanie kodu w systemie","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W mened\u017cerze pakiet\u00f3w Guix zidentyfikowano luki (CVE nie przypisane) w implementacji wewn\u0119trznego polecenia «guix substitute», kt\u00f3re jest automatycznie wywo\u0142ywane przez proces w tle guix-daemon podczas wykonywania operacji instalacji pakiet\u00f3w. Polecenie to jest u\u017cywane do pobierania ju\u017c skompilowanych pakiet\u00f3w binarnych z zewn\u0119trznych serwer\u00f3w z weryfikacj\u0105 ich integralno\u015bci za pomoc\u0105 podpisu cyfrowego. Najbardziej niebezpieczna luka pozwala na zdalne uruchomienie kodu na systemie u\u017cytkownika pod uprawnieniami, pod kt\u00f3rymi dzia\u0142a proces w tle guix-daemon. <\/p>\n

Problem dotyczy wszystkich konfiguracji z procesem guix-daemon, niezale\u017cnie od tego, czy jest uruchamiany z uprawnieniami root, czy jako u\u017cytkownik pozbawiony uprawnie\u0144. Do wykorzystania luki wystarczy jakakolwiek pr\u00f3ba pobrania gotowych binarnych pakiet\u00f3w z serwera<\/a>, kontrolowanego przez atakuj\u0105cego. Przy tym z\u0142o\u015bliwy serwer<\/a> nie musi by\u0107 wyra\u017anie wybierany ani okre\u015blany w ustawieniach u\u017cytkownika — mo\u017ce by\u0107 zdefiniowany przy pomocy opcji «—discover», co pozwala na podstawienie serwera w trakcie ataku MITM. W konfiguracjach, w kt\u00f3rych guix-daemon dzia\u0142a z podwy\u017cszonymi uprawnieniami, lokalny u\u017cytkownik mo\u017ce przeprowadzi\u0107 atak, je\u015bli ma mo\u017cliwo\u015b\u0107 dost\u0119pu do procesu w tle przez gniazdo Unix (domy\u015blnie dost\u0119pne dla wszystkich u\u017cytkownik\u00f3w). <\/p>\n

Luka wyst\u0119puje w obs\u0142udze «restore-file», stosowanej do rozpakowywania w trakcie \u0142adowania pakietu, zanim zako\u0144czy si\u0119 jego pe\u0142ne pobranie i weryfikacja pobranego archiwum za pomoc\u0105 podpisu cyfrowego. Problem wynika z braku sprawdzenia obecno\u015bci znak\u00f3w «.», «\\\/» i «..» w \u015bcie\u017ckach plik\u00f3w umieszczonych w archiwum. Poprzez podstawienie do archiwum niepoprawnych nazw plik\u00f3w, atakuj\u0105cy mo\u017ce wymusi\u0107 zapis dowolnego pliku w dowolnym obszarze systemu plik\u00f3w, w granicach uprawnie\u0144, pod kt\u00f3rymi dzia\u0142a proces w tle guix-daemon. <\/p>\n

Aby zorganizowa\u0107 wykonanie swojego kodu w systemie, mo\u017cna na przyk\u0142ad doda\u0107 skrypt autostartu, taki jak «~\\\/ .bashrc» lub ~\\\/ .profile, lub zmieni\u0107 plik ~\\\/ .ssh\\\/authorized_keys z kluczami SSH. Je\u015bli w systemie wielou\u017cytkownikowym guix-daemon dzia\u0142a jako u\u017cytkownik root, atakuj\u0105cy mo\u017ce nadpisa\u0107 plik z has\u0142ami lub skrypty systemowe. <\/p>\n

Mo\u017cliwo\u015b\u0107 tworzenia fa\u0142szywych serwer\u00f3w do rozprzestrzeniania z\u0142o\u015bliwych pakiet\u00f3w wynika z faktu, \u017ce procedura \u0142adowania metadanych (narinfo) dotycz\u0105cych dost\u0119pnych pakiet\u00f3w binarnych (fetch-narinfos) nie przeprowadza\u0142a weryfikacji certyfikatu serwera, polegaj\u0105c na tym, \u017ce g\u0142\u00f3wna cz\u0119\u015b\u0107 metadanych by\u0142a podpisana cyfrowo. Okaza\u0142o si\u0119, \u017ce podpis nie obejmowa\u0142 URL do pobierania pakietu, co umo\u017cliwia\u0142o jego podmian\u0119 bez naruszania integralno\u015bci metadanych. Ostatecznie fa\u0142szywy pakiet zosta\u0142by odrzucony z powodu niezdania testu zawarto\u015bci zgodnie z hashem, podpisanym cyfrowo, ale ta weryfikacja by\u0142a przeprowadzana po etapie rozpakowywania, na kt\u00f3rym ujawnia\u0142 si\u0119 problem z symbolami specjalnymi w nazwach plik\u00f3w. <\/p>\n

Opr\u00f3cz polecenia «guix substitute», podatny program «restore-file» jest wykorzystywany w poleceniach «guix offload», «guix archive —extract» i «guix challenge», co r\u00f3wnie\u017c mo\u017ce wykorzysta\u0107 podatno\u015b\u0107. Jako obej\u015bcie do zablokowania tej podatno\u015bci zaleca si\u0119 wyra\u017ane okre\u015blenie opcji «—no-substitutes» we wszystkich poleceniach guix. Naprawa podatno\u015bci zosta\u0142a w\u0142\u0105czona do bazy kodu Guix. U\u017cytkownikom zaleca si\u0119 niezw\u0142oczne zainstalowanie utworzonych przez programist\u00f3w aktualizacji guix i guix-daemon. <\/p>\n

Opr\u00f3cz wspomnianego problemu w Guix usuni\u0119to jeszcze trzy luki: <\/p>\n