Prebehla oprava verzia 3.6.2 interaktívnej príkazovej shelly fish s opravou zraniteľnosti CVE-2023-49284.
fish shell používa niektoré znaky Unicode na interné označovanie zástupných znakov a rozšírení. Tento nesprávny prístup umožňoval čítať tieto znaky v výstupe zástupných príkazov, namiesto toho, aby ich premenil na bezpečné vnútorné zastúpenie.
Hoci to môže spôsobiť neočakávané správanie pri priamom vstupe (napríklad echo UFDD2HOME má ten istý výstup ako echo $HOME), môže to predstavovať menší bezpečnostný problém, ak je výstup poskytovaný z externého programu do zástupcu príkazov, kde takýto výstup sa nemusí očakávať.
Táto dizajnová chyba sa objavila v najrannejších verziách fish, ešte pred zavedením systému správy verzií, a predpokladá sa, že je prítomná v každej verzii fish vydanej za posledných 15 rokov alebo viac, aj keď s rôznymi znakmi.
Vykonanie kódu nie je možné, ale DoS útok (cez odkrytie veľkého množstva zátvoriek) alebo únik informácií (napríklad cez rozšírenie premenných) sú potenciálne možné za určitých okolností.
Vo verzii 3.6.3 boli opravené iba testy.
Zdroj: linux.org.ru
