Vulnerabilidades foram identificadas no gerenciador de pacotes Guix (CVE n\u00e3o designados) na implementa\u00e7\u00e3o do comando interno «guix substitute», acionado automaticamente pelo processo em segundo plano guix-daemon durante opera\u00e7\u00f5es de instala\u00e7\u00e3o de pacotes. O comando \u00e9 usado para baixar pacotes bin\u00e1rios j\u00e1 compilados de servidores externos, verificando sua integridade por meio de assinatura digital. A vulnerabilidade mais cr\u00edtica permite a execu\u00e7\u00e3o remota de c\u00f3digo no sistema do usu\u00e1rio com os privil\u00e9gios sob os quais o processo em segundo plano guix-daemon \u00e9 executado. <\/p>\n
O problema afeta todas as configura\u00e7\u00f5es com o processo guix-daemon, independentemente de ser iniciado com privil\u00e9gios de root ou sob um usu\u00e1rio n\u00e3o privilegiado. Para explorar a vulnerabilidade, \u00e9 suficiente qualquer tentativa de baixar pacotes bin\u00e1rios de servidor<\/a>, controlados pelo atacante. Nesse caso, o arquivo malicioso servidor<\/a> N\u00e3o \u00e9 necess\u00e1rio que ele seja explicitamente selecionado ou especificado nas configura\u00e7\u00f5es do usu\u00e1rio — pode ser definido atrav\u00e9s da op\u00e7\u00e3o «—discover», o que possibilita a substitui\u00e7\u00e3o do servidor durante um ataque MITM. Em configura\u00e7\u00f5es onde o guix-daemon \u00e9 executado com privil\u00e9gios elevados, um usu\u00e1rio local pode realizar um ataque se tiver a capacidade de se conectar ao processo em segundo plano por meio de um soquete Unix (que, por padr\u00e3o, est\u00e1 dispon\u00edvel para todos os usu\u00e1rios). <\/p>\n A vulnerabilidade est\u00e1 presente no manipulador «restore-file», usado para descompactar \u00e0 medida que o pacote \u00e9 carregado, sem aguardar o carregamento completo e a verifica\u00e7\u00e3o do arquivo compactado por meio da assinatura digital. O problema \u00e9 causado pela falta de verifica\u00e7\u00e3o da presen\u00e7a dos caracteres «.», «\\\/» e «..» nos caminhos dos arquivos armazenados no arquivo compactado. Atrav\u00e9s da substitui\u00e7\u00e3o por nomes de arquivos incorretos no arquivo compactado, um invasor pode conseguir gravar um arquivo arbitr\u00e1rio em qualquer \u00e1rea do sistema de arquivos, conforme os privil\u00e9gios sob os quais o processo em segundo plano guix-daemon \u00e9 executado. <\/p>\n Para orquestrar a execu\u00e7\u00e3o do seu c\u00f3digo no sistema, por exemplo, pode-se adicionar um script de inicializa\u00e7\u00e3o autom\u00e1tica, como «~\\\/ .bashrc» ou ~\\\/ .profile, ou modificar o arquivo ~\\\/ .ssh\\\/authorized_keys com as chaves SSH. Se em um sistema multiusu\u00e1rio o guix-daemon estiver sendo executado sob o usu\u00e1rio root, o invasor poder\u00e1 sobrescrever arquivos com senhas ou scripts do sistema. <\/p>\n A possibilidade de criar servidores falsas para distribuir pacotes maliciosos foi causada pelo fato de que o procedimento de carregamento de metadados (narinfo) sobre os pacotes bin\u00e1rios dispon\u00edveis (fetch-narinfos) n\u00e3o realizava a verifica\u00e7\u00e3o do certificado do servidor, confiando que a maior parte dos metadados \u00e9 assinada digitalmente. Como se revelou, a assinatura n\u00e3o abrangia a URL para o download do pacote, o que permitia a sua substitui\u00e7\u00e3o sem comprometer a integridade dos metadados. Em \u00faltima an\u00e1lise, o pacote falso seria descartado devido \u00e0 falha na verifica\u00e7\u00e3o de seu conte\u00fado pela hash, assegurada digitalmente, mas essa verifica\u00e7\u00e3o ocorria ap\u00f3s a etapa de descompacta\u00e7\u00e3o, onde surgia o problema com caracteres especiais nos nomes dos arquivos. <\/p>\n Al\u00e9m do comando «guix substitute», o manipulador vulner\u00e1vel «restore-file» \u00e9 utilizado nas opera\u00e7\u00f5es dos comandos «guix offload», «guix archive —extract» e «guix challenge», por meio dos quais a vulnerabilidade tamb\u00e9m pode ser explorada. Como uma solu\u00e7\u00e3o alternativa para bloquear a vulnerabilidade, recomenda-se especificar explicitamente a op\u00e7\u00e3o «—no-substitutes» em todos os comandos guix. A corre\u00e7\u00e3o da vulnerabilidade foi incluida na base de c\u00f3digo do Guix. Os usu\u00e1rios s\u00e3o aconselhados a instalar imediatamente as atualiza\u00e7\u00f5es geradas pelos desenvolvedores do guix e guix-daemon. <\/p>\n Al\u00e9m do problema mencionado no Guix, mais tr\u00eas vulnerabilidades foram corrigidas: <\/p>\n\n