Některé implementace příkazu less mohou být nebezpečné

V některých linuxových distribucích může být problém s implementací příkazu less, který volá přes skripty další utility, které nebyly nikdy zamýšleny k prohlížení nedůvěryhodných souborů z internetu. [CSIRT.CZ]

26.11.2014 22:58 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[asdfasdf]

meanwhile in gnu world...

[R]

Meanwhile in Windows:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6321

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6332

[BigBoss]

To znamená, že existují takové implementace, které jsou nebezpečné?

[agadg]

Ano

[pavele]

A které implementace to konkrétně jsou? Jaké distro?

Opravil bych ještě zprávičku na: Některé implementace mohou být nebezpečné.

To aby to bylo více konkrétní s uvedením možnosti příkladů zneužití a nahlášení chyb těchto konkrétních implementací.

[elf]

V odkazovaném textu je napsáno, že se jedná o Ubuntu a CentOS.

[agadg]

Ano.

[Jindřich Makovička]

Kterákoli implementace lessu je nebezpečná, pokud je nebezpečně nakonfigurovaná, tj. má pomocí proměnné LESSOPEN zapnutý preprocesor.