Debians sikkerhedsbulletin

DSA-4487-1 neovim -- sikkerhedsopdatering

Rapporteret den:

23. jul 2019

Berørte pakker:

neovim

Sårbar:

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2019-12735.

Yderligere oplysninger:

Brugeren Arminius opdagede en sårbarhed i Vim, en udvidet udgave af UNIX-standardeditoren Vi (Vi IMproved), hvilket også påvirkede forgrenignen Neovim, en udvidbar editor med fokus på moderne kode og funktionalitet:

Editorer giver typisk mulighed for at indlejre editoropsætningskommandoer (dvs. modelines), som udføres når en fil åbnes, mens skadelige kommandoer bortfiltreres af en sandkassemekanisme. Man opdagede at source-kommandoen (som anvendes til at indlæse og udføre en anden fil) blev ikke filtreret, hvilket tillod udførelse af shell-kommandoer med en omhyggeligt fabrikeret fil, der er åbnet i Neovim.

I den gamle stabile distribution (stretch), er dette problem rettet i version 0.1.7-4+deb9u1.

Vi anbefaler at du opgraderer dine neovim-pakker.