Proiectul GNU a publicat versiunea editorului de text GNU Emacs 29.4. Codul proiectului este scris în limbajele C și Lisp și este distribuit sub licența GPLv3. GNU Emacs 29.4 este prezentat ca o lansare de urgență, cu eliminarea unei vulnerabilități (CVE nu este atribuit). Detaliile despre vulnerabilitate nu sunt încă dezvăluite, fiind menționat doar că pentru a o bloca, executarea de comenzi shell arbitrare este interzisă atunci când este activat modul Org. Se pare că vulnerabilitatea permite executarea de cod prin deschiderea unui anumit conținut în Emacs sau prin vizualizarea mesajelor special formatate în clientul de e-mail/RSS/NNTP Gnus, inclus în Emacs.
Complement: A fost publicat un exemplu de fișier org, deschiderea căruia în Emacs cauzează executarea comenzilor shell. Pentru exploatarea vulnerabilității, este, de asemenea, posibil să atașați un astfel de fișier unui e-mail, iar acesta va fi executat în timpul previzualizării în Emacs.
#+LINK: shell %(shell-command-to-string)
[[shell:touch ~/hacked.txt]]
Sursa: opennet.ro
