У пакетному менеджері виявлено (CVE-2019-18192), що дозволяє досягти виконання коду в контексті іншого користувача. Проблема проявляється в розрахованих на багато користувачів конфігураціях Guix і викликана неправильним виставленням прав доступу на системний каталог з профілями користувачів.
За промовчанням профілі користувачів ~/.guix-profile визначаються як символічні посилання на каталог /var/guix/profiles/per-user/$USER. Проблема в тому, що права доступу до каталогу /var/guix/profiles/per-user/ допускають створення нових підкаталогів будь-яким користувачем. Атакуючий може створити каталог для іншого користувача, який ще не входив до системи, і організувати запуск свого коду (/var/guix/profiles/per-user/$USER присутній у змінній PATH, і атакуючий може розмістити в цьому каталозі файли, які виконуються) будуть виконані в процесі роботи жертви замість системних файлів, що виконуються).
Джерело: opennet.ru