From mboxrd@z Thu Jan 1 00:00:00 1970 From: "pelzflorian (Florian Pelz)" Subject: bug#37744: Per-user profile directory hijack (CVE-2019-17365 for Nix) Date: Thu, 17 Oct 2019 04:58:20 +0200 Message-ID: <20191017025819.ptdeqtscgphvqyw7@pelzflorian.localdomain> References: <87blujsqq0.fsf@gnu.org> <87y2xno85o.fsf@nckx> <87d0eyuqzd.fsf@gnu.org> <87mue2nkrj.fsf@nckx> <8736fttby6.fsf@gnu.org> <87tv89rnva.fsf@gnu.org> <878spksty3.fsf@gnu.org> <20191016142221.qys2y2cb4spmwscq@pelzflorian.localdomain> <20191016153756.xlnhk6axmg6tx35b@pelzflorian.localdomain> <87wod4gyjq.fsf@gnu.org> Mime-Version: 1.0 Content-Type: text/plain; charset=utf-8 Content-Transfer-Encoding: 8bit Return-path: Received: from eggs.gnu.org ([2001:470:142:3::10]:32868) by lists.gnu.org with esmtp (Exim 4.90_1) (envelope-from ) id 1iKw0G-0007sa-6X for bug-guix@gnu.org; Wed, 16 Oct 2019 22:59:05 -0400 Received: from Debian-exim by eggs.gnu.org with spam-scanned (Exim 4.71) (envelope-from ) id 1iKw0E-0001iP-V2 for bug-guix@gnu.org; Wed, 16 Oct 2019 22:59:04 -0400 Received: from debbugs.gnu.org ([209.51.188.43]:38060) by eggs.gnu.org with esmtps (TLS1.0:RSA_AES_128_CBC_SHA1:16) (Exim 4.71) (envelope-from ) id 1iKw0E-0001iL-RK for bug-guix@gnu.org; Wed, 16 Oct 2019 22:59:02 -0400 Received: from Debian-debbugs by debbugs.gnu.org with local (Exim 4.84_2) (envelope-from ) id 1iKw0E-0007de-Nz for bug-guix@gnu.org; Wed, 16 Oct 2019 22:59:02 -0400 Sender: "Debbugs-submit" Resent-Message-ID: Content-Disposition: inline In-Reply-To: <87wod4gyjq.fsf@gnu.org> List-Id: Bug reports for GNU Guix List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , Errors-To: bug-guix-bounces+gcggb-bug-guix=m.gmane.org@gnu.org Sender: "bug-Guix" To: Ludovic =?UTF-8?Q?Court=C3=A8s?= Cc: 37744@debbugs.gnu.org On Wed, Oct 16, 2019 at 11:39:37PM +0200, Ludovic Courtès wrote: > I committed this with minor changes (removed “sudo”, etc.), but the > translation corresponds to the first version of the entry. Please feel > free to commit changes directly to update it! > Oh no, it seems my message did not get through. I should not have sent it off-list, how stupid of me. ----- Forwarded message from "pelzflorian (Florian Pelz)" ----- Date: Wed, 16 Oct 2019 21:00:57 +0200 From: "pelzflorian (Florian Pelz)" To: Ludovic Courtès Subject: Re: bug#37744: Per-user profile directory hijack (CVE-2019-17365 for Nix) User-Agent: NeoMutt/20180716 (Off-list.) On Wed, Oct 16, 2019 at 07:05:44PM +0200, Ludovic Courtès wrote: > If this is fine with you, I hereby request translation of this entry. > :-) (title […] (de "Sicherheitslücke in @file{/var/guix/profiles/per-user}-Berechtigungen") (body[…] (de "Das voreingestellte Benutzerprofil, @file{~/.guix-profile}, verweist auf @file{/var/guix/profiles/per-user/$USER}. Bisher hatte jeder Benutzer Schreibzugriff auf @file{/var/guix/profiles/per-user}, wodurch der @command{guix}-Befehl berechtigt war, das Unterverzeichnis @code{$USER} anzulegen. Wenn mehrere Benutzer dasselbe System benutzen, kann ein böswilliger Benutzer so das Unterverzeichnis @code{$USER} und Dateien darin für einen anderen Benutzer anlegen, wenn sich dieser noch nie angemeldet hat. Weil @code{/var/…/$USER} auch in @code{$PATH} aufgeführt ist, kann der betroffene Nutzer dazu gebracht werden, vom Angreifer vorgegebenen Code auszuführen. Siehe @uref{https://issues.guix.gnu.org/issue/37744} für weitere Informationen. Der Fehler wurde nun behoben, indem @command{guix-daemon} diese Verzeichnisse jetzt selbst anlegt statt das dem jeweiligen Benutzerkonto zu überlassen. Der Schreibzugriff auf @code{per-user} wird den Benutzern entzogen. Für Systeme mit mehreren Benutzern empfehlen wir, den Daemon jetzt zu aktualisieren. Auf einer Fremddistribution führen Sie dazu @code{sudo guix pull} aus; auf einem Guix-System führen Sie @code{guix pull && sudo guix system reconfigure …} aus. Achten Sie in beiden Fällen darauf, den Dienst mit @code{herd} oder @code{systemctl} neuzustarten.") Thank you for your important work! :) Regards, Florian ----- End forwarded message ----- Regards, Florian