Kotsi ho Vim e lebisang ho ts'ebetsong ea khoutu ha o bula faele e mpe

Ho bahlophisi ba mongolo ke ile ka и neovim fumanehile bofokodi (CVE-2019-12735), e lumellang khoutu e sa lebelloang ho etsoa ha ho buloa faele e etselitsoeng ka ho khetheha. Bothata bo etsahala ha mokhoa oa kamehla oa modeline (":set modeline") o sebetsa, o u lumellang hore u hlalose likhetho tsa ho hlophisa faeleng e sebetsitsoeng. Ho ba kotsing ho kentsoe likhatisong
Vim 8.1.1365 и Neovim 0.3.6.

Ke likhetho tse fokolang feela tse ka kenngoa ka mokhoa oa modeline. Haeba polelo e hlalositsoe e le boleng ba khetho, e etsoa ka mokhoa oa sandbox, e lumellang feela ts'ebetso e bonolo ka ho fetisisa e bolokehileng. Tabeng ena, taelo e nepahetseng e kenyelletsa taelo ea ": source", eo ho eona u ka sebelisang mofetoleli oa "!". ho tsamaisa litaelo tse sa reroang ho tsoa faeleng e boletsoeng. Kahoo, ho phethahatsa khoutu, ho lekane ho bontša moleng oa mohlala mohaho o kang "set foldexpr=execute('\:source! some_file'):". Ho Neovim, ho letsa execute ho thibetsoe, empa assert_fails e ka sebelisoa ho fapana le hoo.

Mohlala, ho tsamaisa taelo ea "uname -a", bula feela faele ho Vim kapa Neovim eo mola oa eona oa pele kapa oa ho qetela o reng:

:!uname -a||» vi:fen:fdm=expr:fde=assert_fails(“mohloli\!\ \%”):fdl=0:fdt=”

Khampani "mohloli! %" e tla bala litaelo tse tsoang faeleng ea hajoale ebe e etsa ":!uname -a". Tatelano ea ho baleha e ka sebelisoa ho pata mohala o fanoeng ho tsoa tlhahiso ke ts'ebeliso ea katse. Ka mohlala, tabeng ena sebelisa mohlala ha o bula faele ka vim, khokahano ea marang-rang e entsoe ka phihlello ea khetla ho sistimi ea motho ea hlasetsoeng, empa faele ena e ke ke ea tsosa lipelaelo ha e hlahisoa ho terminal e sebelisa ts'ebeliso ea katse.

U ka sheba ts'ebetso ea modeline ka taelo ": set modeline?". Ho e thibela, o ka eketsa mohala "set nomodeline" ho vimrc. Kabong bothata bo lokisoa RHEL, SUSE/openSUSE, Fedora, FreeBSD, Botho, Arch Linux и ALT. Kotsi e ntse e sa tsejoe Debian (ho Debian modeline e thibetsoe ka ho sa feleng, kahoo ts'oaetso ha e hlahe maemong a kamehla).

Source: opennet.ru

Eketsa ka tlhaloso