Vzdialené spustenie ľubovoľného príkazu v Emacse

Chyba je spôsobená automatickým spracovaním obsahu adresára .git/, keď sa nachádza v rovnakom adresári ako otváraný súbor. V tomto prípade Emacs spustí príkazy git ls-files a git status pri otváraní súboru, ktoré sa vykonávajú v kontexte obsahu súboru .git/. Na spustenie kódu stačí otvoriť súbor v Emacse z adresára obsahujúceho podadresár .git/ s konfiguračným súborom, ktorý obsahuje možnosť core.fsmonitor s príkazom zadaným útočníkom na spustenie. Správcovia GNU Emacsu odmietli zraniteľnosť opraviť a vinu presunuli na vývojárov gitu.

Zdroj: linux.org.ru

Pridať komentár