[TLP:CLEAR] Emacs opravuje 2 vysoce závažné zranitelnosti
Emacs verzí 30.1 opravuje 2 vysoce závažné zranitelnosti [1][2]. Z operačních systémů vydal opravu například Slackware v rámci SSA:2025-057-01 [3] a Debian ve verzi 1:27.1+1-3.1+deb11u6 pro vydání bullseye (security), 1:28.2+1-15+deb12u4 pro bookworm (security) a 1:30.1+1-3 pro sid a trixie [4][5]. Red Hat poskytl opravu CVE-2025-1244 [6][7]. Gentoo nabízí verzi 30.1 jako testovací [8].
Neautentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno spouštět libovolné shellové příkazy kvůli nedostatečné validaci vstupu a zpracování "man" URI [6][9].
Zranitelnost se nachází v produktu Emacs ve verzích <30.1.
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-1244 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 2. 2025.
Neautentizovanému vzdálenému útočníkovi je umožněno spustit kód skrze škodlivý .el soubor kvůli chybnému rozšiřování maker (macro expansion) v Emacs Lisp při prohlížení nebo úpravě kódu na stroji oběti. Kód může být vykonán automaticky při kontrole chyb (Flymake/Flycheck) nebo doplňování kódu [7][10]. Mitigace rizika spočívá v zákazu automatické kontroly chyb pomocí Flymake/Flycheck, deaktivaci automatického doplňování kódu v nedůvěryhodných .el souborech a nastavení "enable-local-eval" na "nil". Opravená verze tyto mechanismy implementuje. Detailní informace ke zranitelnosti jsou k dispozici na [10].
Zranitelnost se nachází v produktu Emacs ve verzích <30.
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-53920 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-94: Improper Control of Generation of Code ('Code Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 27. 11. 2024.
Odkazy
- [1] https://lists.gnu.org/archive/html/info-gnu/2025-02/msg00009.html
- [2] https://www.openwall.com/lists/oss-security/2025/02/26/2
- [3] http://www.slackware.com/security/viewer.php?l=slackware-security&y=2025&m=slackware-security.396090
- [4] https://security-tracker.debian.org/tracker/CVE-2025-1244
- [5] https://security-tracker.debian.org/tracker/CVE-2024-53920
- [6] https://access.redhat.com/security/cve/cve-2025-1244
- [7] https://access.redhat.com/security/cve/cve-2024-53920
- [8] https://packages.gentoo.org/packages/app-editors/emacs
- [9] https://github.com/advisories/GHSA-gghq-qp34-gqg8
- [10] https://eshelyaron.com/posts/2024-11-27-emacs-aritrary-code-execution-and-how-to-avoid-it.html
Za CESNET-CERTS Michaela Ručková dne 5. 3. 2025.
