低危 命令替换输出可触发 Fish shell 中的 shell 扩展 (CVE-2023-49284)
CVE编号
CVE-2023-49284利用情况
暂无补丁情况
官方补丁披露时间
2023-12-05漏洞描述
fish是一款智能且用户友好的macOS、Linux以及其他操作系统的命令行shell。fish shell在内部使用某些Unicode非字符来标记通配符和扩展。它错误地允许在命令替换输出中读取这些标记，而不是将它们转换为安全的内部表示。尽管这可能会导致直接输入的意外行为（例如，echo \UFDD2HOME的输出与echo $HOME相同），但如果输出来自外部程序并进入命令替换中，则可能成为一种轻微的安全问题。此设计缺陷在fish的非常早期版本中引入，早于版本控制系统，并且据信在过去15年或更长时间的每个fish版本中都存在，尽管使用的是不同的字符。目前似乎不可能进行代码执行，但在某些情况下可能会发生拒绝服务（通过大括号展开）或信息泄露（例如变量展开）。为修复此问题，已发布fish shell 3.6.2版本。建议用户升级。此漏洞没有已知的解决方法。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | fishshell | fish | * | Up to (excluding) 3.6.2 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_10 | fish | * | Up to (including) 3.0.2-2+deb10u1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_11 | fish | * | Up to (including) 3.1.2-3+deb11u1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_12 | fish | * | Up to (including) 3.6.0-3.1 | |||||
| 运行在以下环境 | |||||||||
| 系统 | debian_sid | fish | * | Up to (including) 3.6.1-1 | |||||
- 攻击路径 本地
- 攻击复杂度 困难
- 权限要求 管控权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-436 | 解释冲突 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论