Nix 固定输出推导的损坏 (CVE-2024-27297)
CVE编号
CVE-2024-27297利用情况
暂无补丁情况
N/A披露时间
2024-03-12漏洞描述
Nix是Linux和其他Unix系统上的软件包管理器。在Linux上，固定输出派生可以通过抽象命名空间中的Unix域套接字将文件描述符发送到Nix存储中的文件，以便发送到主机上运行的另一个程序（或另一个固定输出派生）。这允许在Nix将该路径注册为“有效”并在Nix数据库中不可变之后修改派生的输出。特别是，这允许从其预期内容修改固定输出派生成果。此问题已在版本2.3.18、2.18.2、2.19.4和2.20.5中得到解决。建议用户升级。对于此漏洞没有已知的解决方法。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/NixOS/nix/commit/f8170ce9f119e5e6724eb81ff1b5a2d4c0024000 | |
| https://github.com/NixOS/nix/security/advisories/GHSA-2ffj-w4mj-pg37 | |
| https://hackmd.io/03UGerewRcy3db44JQoWvw |
- 攻击路径 相邻
- 攻击复杂度 低
- 权限要求 低
- 影响范围 未更改
- 用户交互 无
- 可用性 低
- 保密性 无
- 完整性 高
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论