Izveden je ispravak verzije 3.6.2 interaktivne komandne ljuske fish s ispravkom ranjivosti CVE-2023-49284.
fish ljuska koristi neke Unicode simbole za internu oznaku zamjenskih znakova i ekstenzija. Ovaj pogrešan pristup omogućio je čitanje tih simbola u outputu zamjena komandi, umjesto da ih pretvara u sigurno interno predstavljanje.
Iako ovo može uzrokovati neočekivano ponašanje prilikom direktnog unosa (npr. echo UFDD2HOME ima isti output kao echo $HOME), ovo može postati manji sigurnosni problem ako se output daje iz vanjskog programa u zamjenu komandi, gdje se takav output možda ne očekuje.
Ova dizajnerska greška pojavila se u najranijim verzijama fish, još prije pojave sistema kontrole verzija, i smatra se da je prisutna u svakoj verziji fish-a objavljenoj u posljednjih 15 godina ili više, iako s različitim simbolima.
Izvršavanje koda se ne čini mogućim, ali DoS napad (kroz otkrivanje velikog broja zagrada) ili otkrivanje informacija (npr. kroz ekstenziju varijabli) su potencijalno mogući pod određenim okolnostima.
U verziji 3.6.3 ispravljeni su samo testovi.
Izvor: linux.org.ru
