注目★★★★★Lobsters
Guix の substitute・pull に権限昇格・ファイル上書き脆弱性、全システム影響
30秒で把握
- 1guix substitute に権限昇格・ストア破損の脆弱性 3 件・guix pull に任意ファイル上書き脆弱性 1 件確認
- 2リモート攻撃は代替サーバー偽装・MITM で可能・HTTPS でも防止不可・ローカル攻撃はデーモン socket 接続で可能
- 3全システム影響・即座のデーモン更新推奨・緊急パッチ待ちの間は --no-substitutes で mitigate
要約
GNU Guix のバイナリ代替機能 (guix substitute) に複数の脆弱性が確認され、リモート攻撃者は任意ファイルの書き込み・ストア破損・権限昇格をビルド デーモン権限で実行可能。CVE 割り当て待ちの 3 件の脆弱性はリモート/ローカル両方の攻撃面を持ち、HTTPS も完全には防御しない。別途 guix pull・guix time-machine に 1 件の脆弱性があり、攻撃者がチャネルファイルを制御できればファイル作成・上書きが可能。
あなたへの影響
自社システムで Guix を使用している場合は、直ちにデーモン更新を実施し、その際 --no-substitutes をすべての guix コマンドに付与してリモート攻撃面を遮断する必要があります。
推奨：ローカル権限昇格は更新のみで防止できるため、公式パッチが利用可能になったら優先度を最高にしてください。