“guix substitute”与“guix pull”漏洞
Guix 系统披露了与“guix substitute”和“guix pull”命令相关的安全漏洞。这些漏洞可能允许攻击者在软件包替换和拉取操作过程中进行中间人攻击或注入恶意代码，影响系统的信任链和软件完整性。用户应及时更新 Guix 版本以修复这些问题。
背景速读
- GNU Guix 是一个基于 Scheme 编程语言（GNU Guile）的函数式包管理器，也是 GNU 项目的官方自由软件操作系统发行版。其核心特性包括“不可变”的包管理、可重复构建、以及支持容器化环境。
- “substitute”（替代物）是 Guix 的一项重要功能：用户不必从源代码编译所有软件，而是从远程服务器（通常是 ci.guix.gnu.org）下载预编译的二进制包。这些替代物由“授权工人”（authorized workers）签名，客户端在安装前会验证签名，以确保来源可信。
- “guix pull”是 Guix 的更新命令，用于拉取最新的 Guix 软件包定义和工具链本身（类似于 git pull + 重新编译 Guix）。它通过“通道”（channels）机制管理多个软件源。
- 本公告披露了两个与权限验证相关的安全漏洞。第一个漏洞涉及替代物分发的机器身份认证：后端基础设施（如 Berlin 和 Cuirass 构建农场）的 SSH 密钥被错误地添加到了替代物签名授权列表中。这意味着攻击者如果控制了这些构建机器（其密钥本仅用于 SSH 连接），就可以向所有 Guix 用户推送恶意的预编译软件包，而不被签名验证机制拦截。第二个漏洞涉及“guix pull”在获取 Git 数据时对通道认证器（channel authenticator）的处理缺陷，可能导致历史记录验证被绕过。
- 这两个漏洞共同暴露了 Guix 基础设施中“最小权限”原则的失效：被授予了错误信任的密钥没有得到有效隔离。修复方案是立即从替代物授权列表中移除所有非专门用于签名替代物的 SSH 密钥，并收紧通道认证流程。