{"id":182448,"date":"2026-07-03T22:53:39","date_gmt":"2026-07-03T20:53:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme"},"modified":"2026-07-03T22:53:39","modified_gmt":"2026-07-03T20:53:39","slug":"uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-v-paketnom-menedzhere-guix-dopuskayushhaya-udalyonnoe-vypolnenie-koda-v-sisteme","title":{"rendered":"S\u00e5rbarhet i pakethanteraren Guix som m\u00f6jligg\u00f6r fj\u00e4rrk\u00f6rning av kod i systemet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Det har uppt\u00e4ckts s\u00e5rbarheter (CVE ej tilldelade) i paketadministrat\u00f6ren Guix i implementeringen av det interna kommandot «guix substitute», som automatiskt anropas av bakgrundsprocessen guix-daemon under installation av paket. Kommandot anv\u00e4nds f\u00f6r att ladda ner redan sammanst\u00e4llda bin\u00e4ra paket fr\u00e5n externa servrar och verifiera deras integritet med hj\u00e4lp av en digital signatur. Den mest allvarliga s\u00e5rbarheten till\u00e5ter en angripare att exekvera kod p\u00e5 anv\u00e4ndarens system med de r\u00e4ttigheter som bakgrundsprocessen guix-daemon k\u00f6rs med. <\/p>\n

Problemet ber\u00f6r alla konfigurationer med processen guix-daemon, oavsett om den k\u00f6rs med root-r\u00e4ttigheter eller av en icke-privilegierad anv\u00e4ndare. F\u00f6r att utnyttja s\u00e5rbarheten r\u00e4cker det med att f\u00f6rs\u00f6ka h\u00e4mta f\u00e4rdiga bin\u00e4rpaket fr\u00e5n servern<\/a>, som kontrolleras av angriparen. Den skadliga server<\/a> Det beh\u00f6ver inte n\u00f6dv\u00e4ndigtvis v\u00e4ljas eller anges uttryckligen i anv\u00e4ndarens inst\u00e4llningar — det kan definieras med alternativet «—discover», vilket m\u00f6jligg\u00f6r serverinjektion under en MITM-attack. I konfigurationer d\u00e4r guix-daemon k\u00f6rs med f\u00f6rh\u00f6jda r\u00e4ttigheter kan en lokal anv\u00e4ndare utf\u00f6ra en attack om det finns m\u00f6jlighet att koppla upp sig mot bakgrundsprocessen via en Unix-socket (som som standard \u00e4r tillg\u00e4nglig f\u00f6r alla anv\u00e4ndare). <\/p>\n

S\u00e5rbarheten finns i hanteraren «restore-file», som anv\u00e4nds f\u00f6r att packa upp medan paketet laddas, utan att v\u00e4nta p\u00e5 att det ska laddas ner helt och verifiera den nedladdade arkiven med en digital signatur. Problemet beror p\u00e5 bristen p\u00e5 kontroll av f\u00f6rekomsten av tecken «.», «\\\/» och «..» i filv\u00e4garna i det inkluderade arkivet. Genom att injicera ogiltiga filnamn i arkivet kan en angripare \u00e5stadkomma att en godtycklig fil skrivs till valfri del av filsystemet, beroende p\u00e5 de r\u00e4ttigheter som bakgrundsprocessen guix-daemon k\u00f6rs med. <\/p>\n

F\u00f6r att organisera exekveringen av sin kod p\u00e5 systemet kan man till exempel l\u00e4gga till ett automatiskt startskrift, s\u00e5som «~\\\/ .bashrc» eller ~\\\/ .profile, eller \u00e4ndra filen ~\\\/ .ssh\\\/authorized_keys med SSH-nycklar. Om guix-daemon k\u00f6rs under anv\u00e4ndaren root i ett flermedelsystem kan angriparen skriva \u00f6ver en fil med l\u00f6senord eller systemskript. <\/p>\n

M\u00f6jligheten att skapa falska servrar f\u00f6r spridning av skadliga paket orsakades av att proceduren f\u00f6r att ladda ner metadata (narinfo) om tillg\u00e4ngliga bin\u00e4rpaket (fetch-narinfos) inte kontrollerade serverns certifikat, utan f\u00f6rlitade sig p\u00e5 att huvuddelen av metadata signerades med en digital signatur. Det visade sig att signaturen inte omfattade URL:en f\u00f6r nedladdning av paketet, vilket medgav att den kunde bytas ut utan att bryta mot metadata-integriteten. I slut\u00e4ndan skulle det falska paketet ha avvisats p\u00e5 grund av att det inte passerade kontrollen av dess inneh\u00e5ll enligt hash v\u00e4rdet, som var signerat med den digitala signaturen, men denna kontroll genomf\u00f6rdes efter avpackningssteget, d\u00e4r problemet med specialtecken i filnamnen uppstod. <\/p>\n

F\u00f6rutom kommandot «guix substitute» anv\u00e4nds den s\u00e5rbara hanteraren «restore-file» i arbetet med kommandona «guix offload», «guix archive —extract» och «guix challenge», genom vilka s\u00e5rbarheten ocks\u00e5 kan utnyttjas. Som en genv\u00e4g f\u00f6r att blockera s\u00e5rbarheten rekommenderas att uttryckligen ange alternativet «—no-substitutes» i alla guix-kommandon. \u00c5tg\u00e4rden av s\u00e5rbarheten har inkluderats i Guix kodbas. Anv\u00e4ndare rekommenderas att omedelbart installera de av utvecklarna utf\u00e4rdade uppdateringarna f\u00f6r guix och guix-daemon. <\/p>\n

F\u00f6rutom det n\u00e4mnda problemet har tre andra s\u00e5rbarheter \u00e5tg\u00e4rdats i Guix: <\/p>\n