GNU Guix 包管理器中的漏洞

在包管理器中 GNU 吉克斯 已确定 漏洞 (CVE-2019-18192)，允许在另一个用户的上下文中执行代码。 该问题出现在多用户 Guix 配置中，是由于错误地设置用户配置文件对系统目录的访问权限而引起的。

默认情况下， ~/.guix-profile 用户配置文件被定义为 /var/guix/profiles/per-user/$USER 目录的符号链接。 问题是 /var/guix/profiles/per-user/ 目录的权限允许任何用户创建新的子目录。 攻击者可以为尚未登录的另一个用户创建一个目录并安排其代码运行（/var/guix/profiles/per-user/$USER 存在于 PATH 变量中，攻击者可以放置可执行文件在此目录中，该目录将在受害者运行时执行，而不是系统可执行文件）。

来源： opennet.ru