ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
OpenHuman هو إطار وكيل مفتوح المصدر متوفر كبرنامج سطح مكتب ومكتبة Rust. قبل الإصدار 0.57.13، يمكن لمهاجم يمكنه إرسال رسائل إلى قناة خارجية مُكوّنة أن يتسبب في قيام الوكيل بإنشاء مهام cron دائمة للصدفة دون موافقة بشرية. ينفذ المجدول لاحقًا هذه المهام بصلاحيات مستخدم وقت تشغيل OpenHuman. يسمح التحقق من صحة الأوامر أيضًا بتعيينات البيئة الرائدة التي يمكنها إعادة توجيه الأوامر المسموح بها إلى مساعدين قابلي التنفيذ. يتطلب الاستغلال الموضح وجود مساعد تنفيذي مناسب موجود بالفعل على المضيف. يمكن أن يؤدي هذا إلى تنفيذ أمر دائم غير مصرح به وتعريض البيانات والموارد المتاحة لـ OpenHuman للخطر. تم إصلاح هذه المشكلة في الإصدار 0.57.13.
المعالجة
المراجع
- مرجعhttps://github.com/tinyhumansai/openhuman/commit/3a7180da7765af861bf44d79e025fc67dbeae0ca
- مرجعhttps://github.com/tinyhumansai/openhuman/commit/4d9fe2072fdd5787023bafa2c7a63b6f8a7e9b93
- مرجعhttps://github.com/tinyhumansai/openhuman/pull/2736
- مرجعhttps://github.com/tinyhumansai/openhuman/pull/3227
- مرجعhttps://github.com/tinyhumansai/openhuman/releases/tag/v0.57.13
- مرجعhttps://github.com/tinyhumansai/openhuman/security/advisories/GHSA-f46p-6vf9-64mm