GLSA 201903-02: Zsh: User-assisted execution of arbitrary code

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	Zsh: User-assisted execution of arbitrary code
Дата:	10.03.2019
Ошибки:	#665278
ID:	201903-02

Сводка

Input validation errors in Zsh could result in arbitrary code execution.

Назначение

A shell designed for interactive use, although it is also a powerful scripting language.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
app-shells/zsh	< 5.6	>= 5.6	All supported architectures

Описание

Two input validation errors have been discovered in how Zsh parses scripts:

Parsing a malformed shebang line could cause Zsh to call a program listed in the second line (CVE-2018-0502)
Shebang lines longer than 64 characters are truncated (CVE-2018-13259)

Воздействие

An attacker could entice a user to execute a specially crafted script using Zsh, possibly resulting in execution of arbitrary code with the privileges of the process.

Обход

There is no known workaround at this time.

Решение

All Zsh users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose ">=app-shells/zsh-5.6"

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201903-02.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.