Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в пакетном менеджере Guix, допускающая удалённое выполнение кода в системе"	+/–
Сообщение от opennews (?), 03-Июл-26, 18:33
В пакетном менеджере Guix выявлены уязвимости (CVE не назначены) в реализации внутренней команды "guix substitute", автоматически вызываемой фоновым процессом guix-daemon при выполнении операций установки пакетов. Команда применяется для загрузки уже собранных бинарных пакетов с внешних серверов с проверкой их целостности при помощи цифровой подписи. Наиболее опасная уязвимость позволяет удалённо организовать выполнение кода на системе пользователя с правами под которыми выполняется фоновый процесс guix-daemon... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=65837
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "Уязвимость в пакетном менеджере Guix, допускающая удалённое ..."	+/–
Сообщение от sdk3 (?), 03-Июл-26, 18:33
А ведь и в NixOS подобное может быть.
Ответить | Правка | Наверх | Cообщить модератору

2. "Уязвимость в пакетном менеджере Guix, допускающая удалённое ..."	+/–
Сообщение от Аноним (2), 03-Июл-26, 18:45
Нормальный пакетный манагер не назовут GUIX-ом.
Ответить | Правка | Наверх | Cообщить модератору

3. "Уязвимость в пакетном менеджере Guix, допускающая удалённое ..."	+/–
Сообщение от Аноним (3), 03-Июл-26, 19:01
> для распаковки по мере загрузки пакета, не дожидаясь его полной загрузки и верификации загруженного архива по цифровой подписи. Действительно, зачем верификация архива? Мы же очень спешим! Жаль в статье и огигинально блогпосте не сказано сколько лет жил бекдор Но даже применение Scheme не помогло )))))
Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема