В  пакетном менеджере GNU Guix, выявлена...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=51701

• Уязвимость в пакетном менеджере GNU Guix,Аноним, 09:47 , 18-Окт-19
  • Уязвимость в пакетном менеджере GNU Guix,Аноним, 10:06 , 18-Окт-19
    • Уязвимость в пакетном менеджере GNU Guix,Аноним, 17:13 , 18-Окт-19
• Уязвимость в пакетном менеджере GNU Guix,Аноним, 10:16 , 18-Окт-19
  • Уязвимость в пакетном менеджере GNU Guix,Аноним, 10:24 , 18-Окт-19
    • Уязвимость в пакетном менеджере GNU Guix,Аноним, 16:38 , 18-Окт-19
  • Уязвимость в пакетном менеджере GNU Guix,Andrey Mitrofanov_N0, 10:39 , 18-Окт-19
• Уязвимость в пакетном менеджере GNU Guix,danonimous, 11:03 , 18-Окт-19
  • Уязвимость в пакетном менеджере GNU Guix,ilyafedin, 11:10 , 18-Окт-19
    • Уязвимость в пакетном менеджере GNU Guix,danominous, 14:40 , 18-Окт-19
      • Уязвимость в пакетном менеджере GNU Guix,Аноним, 17:05 , 18-Окт-19
        • Уязвимость в пакетном менеджере GNU Guix,Аноним, 16:58 , 19-Окт-19
      • Уязвимость в пакетном менеджере GNU Guix,X4asd, 19:24 , 18-Окт-19
        • Уязвимость в пакетном менеджере GNU Guix,Аноним, 22:24 , 20-Окт-19
      • Уязвимость в пакетном менеджере GNU Guix,Ю.Т., 08:23 , 20-Окт-19
  • Уязвимость в пакетном менеджере GNU Guix,ievoochielaPh5Ph, 14:20 , 18-Окт-19
    • Уязвимость в пакетном менеджере GNU Guix,danominous, 14:34 , 18-Окт-19
  • Уязвимость в пакетном менеджере GNU Guix,user90, 17:27 , 18-Окт-19
    • Уязвимость в пакетном менеджере GNU Guix,Анонимно, 22:27 , 18-Окт-19
      • Уязвимость в пакетном менеджере GNU Guix,Andrey Mitrofanov_N0, 10:31 , 20-Окт-19
  • Уязвимость в пакетном менеджере GNU Guix,Аноним, 17:21 , 19-Окт-19
• Уязвимость в пакетном менеджере GNU Guix,Аноним, 11:42 , 18-Окт-19
• Уязвимость в пакетном менеджере GNU Guix,Аноним, 13:37 , 18-Окт-19
  • Уязвимость в пакетном менеджере GNU Guix,danominous, 17:34 , 18-Окт-19

Пофиксят. Тем более Guix, тут наверно можно обойтись даже без system reconfigure.

Так оперативно можно ручками выставить правильные права.

Ну-ка, ну-ка, и какие же права будут правильными, чтобы и дыру прикрыть, и ничего не сломать?

там 777 чтоль было?

888

Это в какой системе счисления? ;)

> там 777 чтоль было?

1777.

" Until now, /var/guix/profiles/per-user was world-writable [...] "
--https://guix.gnu.org/blog/2019/insecure-permissions-on-profi.../

" This issue was initially reported by Michael Orlitzky for Nix (CVE-2019-17365). "
==

"
its parent directory. That parent directory is shared by all users on
the system, and as a result, is world-writable (so that everyone can
create his own subdirectory thereof). This is enforced by the
installation script scripts/install-multi-user.sh...

  _sudo "to make the basic directory structure of Nix (part 2)" \
    mkdir -pv -m 1777 /nix/var/nix/{gcroots,profiles}/per-user
" --https://www.openwall.com/lists/oss-security/2019/10/09/4

Интересно, сколько пользователей могло пострадать от этого? Похоже, кроме разработчиков им больше никто не пользуется.

Дистрибутив очень интересный - в начале нулевых это был бы прорыв и на него все бы ломанулись. Отличные возможности по сборке программ, да ещё всё это напрямую от GNU. А сейчас его как будто не заметили. Возможно, надо делать форк с блобами, вшитыми в iso образе - как у Убунты, чтобы привлечь хоть какое-то внимание.

Зачем, когда оригинальный дистрибутив, на котором он основан - уже с блобами?

NixOS инфецирован systemd и там велосипедный язык конфигурации. Поэтому понятно, почему он не взлетел. В Гиксе же нормальная система инициализации и Guile.

NixOS популярнее Guix. Второй обрёк себя на смерть в продакшене, исключив любую проприетарщину.

Для проприетарщины есть сторонние каналы, например
https://gitlab.com/nonguix/nonguix

systemd это ведь наоборот хорошо

Только если вы леннарт

ПМ Guix в одном из вариантов конфигнурации использует ПМ Nix.

Никто в начале нулевых об этом Guix не слышал, тогда была мода на Слаку и Gentoo.
А от уязвимости даже разрабы не пострадают. Это как в свое время с Альтом было. Разговор с Райдером(Антоном Фарыгиным) на ЛинуксФесте про используемые дистры:

— Ну я на Gentoo, а ты, Райдер? На своем Альте?
— Я что на дурака похож? На Дэбиане сижу, для Альта все в чруте делаю

:-D

Так его в начале нулевых не было, я это и отметил (с сожалением).

> Интересно, сколько пользователей могло пострадать от этого?

Примерно ноль. Guix используют энтузиасты с достаточно прямыми руками.

> форк с блобами

Цирк с конями! =) Это все-таки GNU, а не "возьмем systemd и побыстрому слепим тысяча первый дистрибутив".

> энтузиасты с достаточно прямыми руками.

Прямизна чужих рук не извиняет своих 777.

p.s Ну додумались же до a+rwx...  :/

> Прямизна чужих рук не извиняет своих 777.
> p.s Ну додумались же до a+rwx...  :/

Малой, про sticky-биты почитай чего, что ли.

$ stat -c '%A %a %U %G' /tmp/
drwxrwxrwt 1777 root root

1777 не 777.

Можешь _внимательно_ почитать про "уязвимость" -- обратив внимание на то, что речь про создание директории, пока её _не_ существовало.

Смекаешь?

> Интересно, сколько пользователей могло пострадать от этого?

Эта уязвимость касается фактически многопользовательских систем, то есть компьютеров с удаленным или локальным доступом для множества пользователей.  Поскольку Guix используется таким образом в некоторых научных и образовательных учреждениях, уязвимость значима.

Астрологи объявили неделю бэкдоров

Автор вместо того, чтобы на Столмана гнать, лучше бы проектом занялся.

Ну да - испортил карму, вот и первая уязвимость тут как тут!