logo

شرکت سیاره فناوری اطلاعات

شرکت سیاره فناوری اطلاعات در سال 1394 با هدف ارائه خدمات تخصصی در حوزه امنیت شبکه، دیتاسنتر و زیرساخت با ماموریت ارتقاء کیفی ارائه خدمات، در استان هرمزگان تاسیس گردیده است.
آدرس: بندرعباس - بلوار دانشگاه - دانشگاه 15 - ساختمان خلیج فارس - ورودی آ - طبقه هفتم - واحد 34
Info@ITP-Co.net
07633678656
07633679513
09175500730

آسیب‌پذیری اجرای کد در دو برنامه ویرایشگر متن در لینوکس

یک پژوهشگر امنیتی اخیرا یک آسیب‌پذیری با درجه حساسیت بالا در برنامه‌های ویرایش متن Vim و Neovim در لینوکس کشف کرده است. این آسیب‌پذیری با شناسه CVE-۲۰۱۹-۱۲۷۳۵ ردیابی می‌شود.

به گزارش معاونت بررسی مرکز افتا، به نقل از پایگاه اینترنتی Security Affairs، آسیب‌پذیری CVE-۲۰۱۹-۱۲۷۳۵ یک نقص اجرای دستور دلخواه در سیستم‌عامل است و در برنامه‌های خط فرمان (Command-line) Vim و Neovim وجود دارد. این دو برنامه به طور پیش فرض در توزیع‌های لینوکس نصب شده است.

نسخه‌های قبل از ۸,۱.۱۳۶۵ در Vim و ۰.۳.۶ در Neovim نسبت به این نقص اجرای کد دلخواه آسیب‌پذیر هستند و با باز کردن یک فایل متنی دستکاری شده می‌توان از آن سوء استفاده کرد. Vim یک ویرایشگر متن قابل پیکربندی است که به منظور ایجاد و تغییر هر نوع متنی طراحی شده است. Neovim نسخه بهبود یافته Vim است که دارای ۳۰ درصد کد منبع کمتر و تجربه کاربری در آن بهبود یافته است.

آسیب‌پذیری نحوه مدیریت ویژگی modeline در ویرایشگر Vim را تحت تاثیر قرار می‌دهد. ویژگی modeline به کاربران اجازه می‌دهد تا گزینه‌های دلخواه در ابتدا و انتهای یک فایل تعیین کنند. این ویژگی به طور پیش فرض برای تمامی فایل‌ها فعال است. یک مهاجم می‌تواند کاربر را فریب دهد تا یک فایل دستکاری شده را در Vim یا Neovim باز کند که منجر به اجرای دستور در یک سیستم لینوکسی می‌شود. دو کد اثبات مفهومی (PoC) برای این آسیب‌پذیری منتشر شده است که توسط یکی از آن‌ها یک مهاجم با دسترسی از راه دور می‌تواند به یک shell معکوس دسترسی یابد.

تیم‌های توسعه Vim و Neovim به‌روزرسانی‌های مربوط به رفع آسیب‌پذیری CVE-۲۰۱۹-۱۲۷۳۵ را در نسخه‌های ۸,۱.۱۳۶۵ و ۰.۳.۶ منتشر کرده‌اند. برای کاهش اثرات این نقص، کارشناسان توصیه می‌کنند تا ویژگی‌های modelines و modelineexpr غیرفعال شوند و از افزونه securemodelines استفاده شود.

منبع خبر: مرکز مدیریت راهبردی افتا

ITPCo_Co