\u00cen managerul de pachete Guix au fost identificate vulnerabilit\u0103\u021bi (CVE nespecificate) \u00een implementarea comenzii interne \u201eguix substitute\u201d, care este apelat\u0103 automat de procesul de fundal guix-daemon \u00een timpul oper\u0103rii de instalare a pachetelor. Aceast\u0103 comand\u0103 este utilizat\u0103 pentru desc\u0103rcarea pachetelor binare deja compilate de pe servere externe, verific\u00e2ndu-le integritatea prin intermediul semn\u0103turii digitale. Cea mai periculoas\u0103 vulnerabilitate permite executarea de cod la distan\u021b\u0103 pe sistemul utilizatorului cu drepturile sub care ruleaz\u0103 procesul de fundal guix-daemon. <\/p>\n
Problema afecteaz\u0103 toate configura\u021biile cu procesul guix-daemon, indiferent dac\u0103 este lansat cu privilegii root sau cu un utilizator neprivilegiat. Pentru a explora vulnerabilitatea, este suficient\u0103 orice \u00eencercare de desc\u0103rcare de pachete binare gata f\u0103cute de la server<\/a>, controlat de atacator. \u00cen acest context, malware-ul serverul<\/a> nu trebuie neap\u0103rat s\u0103 fie ales sau specificat \u00een mod explicit \u00een set\u0103rile utilizatorului \u2014 acesta poate fi definit prin op\u021biunea \u201e--discover\u201d, ceea ce permite substituirea serverului \u00een cadrul unui atac MITM. \u00cen configura\u021biile \u00een care guix-daemon este pornit cu privilegii ridicate, un utilizator local poate efectua un atac dac\u0103 poate s\u0103 se conecteze la procesul de fundal printr-un socket Unix (de obicei disponibil pentru to\u021bi utilizatorii). <\/p>\n Vulnerabilitatea este prezent\u0103 \u00een handler-ul \u201erestore-file\u201d, utilizat pentru dezarhivarea pe m\u0103sur\u0103 ce pachetul este desc\u0103rcat, f\u0103r\u0103 a a\u0219tepta finalizarea desc\u0103rc\u0103rii \u0219i verificarea arhivei desc\u0103rcate prin semn\u0103tur\u0103 digital\u0103. Problema este cauzat\u0103 de lipsa unei verific\u0103ri pentru caracterele \u201e.\u201d, \u201e\/\u201d \u0219i \u201e..\u201d \u00een c\u0103ile fi\u0219ierelor din arhiv\u0103. Prin substituirea unor nume de fi\u0219iere necorespunz\u0103toare \u00een arhiv\u0103, un atacator poate reu\u0219i s\u0103 scrie un fi\u0219ier arbitrar \u00een orice zon\u0103 a sistemului de fi\u0219iere, \u00een limita drepturilor sub care ruleaz\u0103 procesul de fundal guix-daemon. <\/p>\n Pentru a organiza executarea propriului cod \u00een sistem, de exemplu, se poate ad\u0103uga un script de autostart, cum ar fi \u201e~\/.bashrc\u201d sau \u201e~\/.profile\u201d, sau se poate modifica fi\u0219ierul \u201e~\/.ssh\/authorized_keys\u201d cu cheile SSH. Dac\u0103 \u00een sistemul multi-utilizator guix-daemon este executat sub utilizatorul root, atacatorul poate suprascrie fi\u0219ierul cu parole sau scripturile sistemului. <\/p>\n Posibilitatea cre\u0103rii de servere false pentru distribuirea pachetelor mali\u021bioase a fost cauzat\u0103 de faptul c\u0103 procedura de \u00eenc\u0103rcare a metadatelor (narinfo) pentru pachetele binare disponibile (fetch-narinfos) nu verifica certificatul serverului, baz\u00e2ndu-se pe faptul c\u0103 partea principal\u0103 a metadatelor era certificat cu o semn\u0103tur\u0103 digital\u0103. A\u0219a cum s-a dovedit, semn\u0103tura nu includea URL-ul pentru desc\u0103rcarea pachetului, ceea ce permitea substituirea acestuia f\u0103r\u0103 a \u00eenc\u0103lca integritatea metadatelor. \u00cen cele din urm\u0103, pachetul falsificat ar fi fost respins din cauza e\u0219ecului la verificarea con\u021binutului s\u0103u prin hash-ul certificat cu semn\u0103tura digital\u0103, dar aceast\u0103 verificare se efectua dup\u0103 etapa de dezarhivare, \u00een care ap\u0103rea problema caracterelor speciale \u00een numele fi\u0219ierelor. <\/p>\n Pe l\u00e2ng\u0103 comanda «guix substitute», gestionarul vulnerabil «restore-file» este utilizat \u0219i \u00een execu\u021bia comenzilor «guix offload», «guix archive —extract» \u0219i «guix challenge», prin care se poate exploata vulnerabilitatea. Ca o solu\u021bie temporar\u0103 pentru a bloca vulnerabilitatea, se recomand\u0103 specificarea explicit\u0103 a op\u021biunii «—no-substitutes» \u00een toate comenzile guix. Corectarea vulnerabilit\u0103\u021bii a fost inclus\u0103 \u00een baza de cod Guix. Utilizatorilor li se recomand\u0103 s\u0103 instaleze imediat actualiz\u0103rile formulate de dezvoltatori pentru guix \u0219i guix-daemon. <\/p>\n Pe l\u00e2ng\u0103 problema men\u021bionat\u0103 \u00een Guix, au fost remediate alte trei vulnerabilit\u0103\u021bi: <\/p>\n\n