GNU Guix 套件管理器中的漏洞

在套件管理器中 GNU 吉克斯 已確定 脆弱性 (CVE-2019-18192)，允許在另一個使用者的上下文中執行程式碼。該問題出現在多用戶 Guix 配置中，是由於錯誤地設定使用者設定檔對系統目錄的存取權限而引起的。

預設情況下， ~/.guix-profile 使用者設定檔定義為 /var/guix/profiles/per-user/$USER 目錄的符號連結。問題是 /var/guix/profiles/per-user/ 目錄的權限允許任何使用者建立新的子目錄。攻擊者可以為尚未登入的另一個使用者建立目錄並安排其程式碼執行（/var/guix/profiles/per-user/$USER 存在於 PATH 變數中，攻擊者可以放置可執行檔在此目錄中，該目錄將在受害者運行時執行，而不是系統可執行檔）。

來源： opennet.ru