Skip to content
TopicTracker
出典 HackerNews原文を表示
翻訳言語翻訳言語

'guix substitute' および 'guix pull' の脆弱性

Guix パッケージマネージャにおいて、'guix substitute' と 'guix pull' に関連する複数の脆弱性が発見されました。これらの脆弱性は、悪意のあるサーバーが認証をバイパスし、システム上で任意のコードを実行する可能性をもたらします。最新バージョンへのアップデートが推奨されます。

背景メモ

GNU Guixは、関数型パッケージ管理とシステム設定を特徴とするGNUオペレーティングシステムのディストリビューション/パッケージマネージャ。`guix pull`はGuix自身を更新するコマンド、`guix substitute`はビルド済みバイナリを配布サーバーから取得する機能(「substitute」は「代用ビルド」の意)。 - 今回開示された脆弱性は、サーバーが署名付きで配布する「 substitute 」の真正性検証の欠陥に関わるもの。攻撃者が中間者攻撃(MITM)などで改ざんしたバイナリを差し込める可能性がある。 - `guix pull` 側にも問題があり、署名検証のチェックが不十分なケースで、悪意あるコミットを押し込まれる危険性が指摘されている。 - 両脆弱性は、デフォルトで有効な機能に影響し、システム全体の信頼チェーン(trust chain)を破壊しうる深刻度。パッチ適用と更新が強く推奨される。 - Guixはaptやpacmanと異なり、トランザクショナルな更新と完全な再現性を重視するディストリビューション。今回の開示は、そのセキュリティ基盤である「暗号署名による正当性保証」の実装に穴があったことを意味する。

関連記事