Foi lançado um lançamento corretivo 3.6.2 do shell interativo fish, corrigindo uma vulnerabilidade CVE-2023-49284.
O shell fish utiliza alguns caracteres Unicode para marcação interna de padrões e extensões. Essa abordagem inadequada permitia que esses caracteres fossem lidos na saída do comando de substituição, em vez de serem convertidos em uma representação interna segura.
Embora isso possa causar comportamentos inesperados durante a entrada direta (por exemplo, echo UFDD2HOME produz a mesma saída que echo $HOME), isso pode se tornar um problema de segurança menor se a saída vier de um programa externo para a substituição de comandos, onde tal saída pode não ser esperada.
Essa falha de design apareceu nas versões mais antigas do fish, mesmo antes da introdução do sistema de controle de versões, e acredita-se que esteja presente em todas as versões do fish lançadas nos últimos 15 anos ou mais, embora com caracteres diferentes.
A execução de código não é considerada possível, mas um ataque DoS (através da exposição de um grande número de parênteses) ou a divulgação de informações (por exemplo, através da expansão de variáveis) são potencialmente possíveis em certas circunstâncias.
Na versão 3.6.3, apenas os testes foram corrigidos.
Fonte: linux.org.ru
