Исходное сообщение
"Уязвимость в пакетном менеджере pacman, позволяющая выполнит..." Отправлено opennews, 13-Мрт-19 11:04
В пакетном менеджере pacman, применяемом в дистрибутиве Arch Linux, выявлена (https://security.archlinux.org/ASA-201903-7) уязвимость (CVE-2019-9686 (https://security.archlinux.org/CVE-2019-9686)), позволяющая добиться выполнения кода с правами root в момент установки пакета, в случае контроля атакующим за за зеркалом репозитория или транзитным трафиком жертвы (например, при подключении пользователя через сетевой шлюз, VPN или беспроводную точку доступа, подконтрольные атакующему). Проблема устранена в обновлении pacman 5.1.3-1 (https://security.archlinux.org/package/pacman). Уязвимость напоминает недавно выявленную проблему (https://www.opennet.ru/opennews/art.shtml?num=50007) в пакетном менеджере APT и также связана с возможностью подмены определённых полей в HTTP-ответах. В Arch Linux, как и большинстве других дистрибутивов, обращение к репозиториям может осуществляться (https://www.archlinux.org/mirrorlist/all/http/) по HTTP без шифрования трафика, но с применением верификация целостности и источника пакета по цифровой подписи. При установке пакета при помощи команды "pacman -U" с указанием URL, атакующий может подменить (https://git.archlinux.org/pacman.git/commit/?id=d197d8ab82cf...) имя файла, передаваемое через HTTP-заголовок "Content-Disposition". Пакетный менеджер pacman использует передаваемое в заголовке "Content-Disposition" значение для переименования полученного файла без должной проверки его корректности и без вырезания символов "../" из файлового пути. Переименование выполняется на стадии до проверки данных по цифровой подписи. Атакующий может поменять имя файла на строку вида "../../usr/share/libalpm/hooks/evil.hook" и добиться размещения своего файла в любой части файловой системы. Подобная манипуляция приведёт к выводу ошибки из-за невозможности найти файл в каталоге с кэшем пакетов, но скопированный файл останется в системе. URL: https://security.archlinux.org/ASA-201903-7 Новость: https://www.opennet.ru/opennews/art.shtml?num=50311