GNU-projektet har släppt version 29.4 av textredigeraren GNU Emacs. Projektets kod är skriven i C och Lisp och sprids under GPLv3-licensen. GNU Emacs 29.4 presenteras som en oplanerad akututgåva med en åtgärd av en sårbarhet (ingen CVE-nummer tilldelad). Detaljer om sårbarheten avslöjas för tillfället inte, endast att körning av godtyckliga shell-kommandon är förbjuden när Org-läget är aktiverat. Det verkar som sårbarheten tillåter kodexekvering vid öppning av viss innehåll i Emacs eller vid visning av särskilt formatterade meddelanden i Emacs inbyggda e-post/RSS/NNTP-klient Gnus.
Tillägg: Ett exempel på en org-fil har publicerats, vars öppning i Emacs resulterar i att shell-kommandon körs. För att utnyttja sårbarheten kan en sådan fil också bifogas ett e-postmeddelande och den kommer att köras vid förhandsgranskning i Emacs.
#+LINK: shell %(shell-command-to-string)
[[shell:touch ~/hacked.txt]]
Källa: opennet.ru
