fish 3.6.2 och 3.6.3 med buggfix för CVE-2023-49284

En korrigerande utgåva 3.6.2 av den interaktiva kommandotolken fish har släppts med en åtgärd av sårbarheten. CVE-2023-49284.

Fish shell använder vissa Unicode-tecken för intern märkning av platshållare och tillägg. Denna felaktiga metod gjorde det möjligt att läsa dessa tecken i utskriften av kommandoutbyte istället för att omvandla dem till en säker intern representation.

Även om detta kan orsaka oväntat beteende vid direkt inmatning (t.ex. echo UFDD2HOME ger samma utskrift som echo $HOME), kan det utgöra ett mindre säkerhetsproblem om utskriften kommer från ett externt program till kommandoutbytet, där sådan utskrift inte kan förväntas.

Denna designbrist uppstod i de tidigaste versionerna av fish, innan versionskontrollsystemet existerade, och anses närvara i varje version av fish som släpptes under de senaste 15 åren eller mer, även om med olika tecken.

Exekvering av kod verkar inte vara möjlig, men DoS-attacker (genom att blotta ett stort antal parenteser) eller informationsläckage (t.ex. genom att utöka variabler) är potentiellt möjliga under vissa omständigheter.

I version 3.6.3 har endast testerna åtgärdats.

Källa: linux.org.ru