PT-2026-133316
CVE-2026-97209
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 4.0
5.4
متوسطةالمقاييسAV:L/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Elixir الإصدارات من 1.20.0-rc.4 إلى 1.20.4
Description
تسمح ثغرة الملفات المؤقتة غير الآمنة في Mix
deps.partition لمستخدم محلي بتنفيذ رمز برمجي عشوائي بصلاحيات مستخدم آخر. أثناء عملية تجميع التبعيات المقسمة، يتم تمرير تكوين المشروع إلى أجهزة VM الخاصة بالتقسيم عبر ملف في دليل ثابت الاسم ضمن الدليل المؤقت المشترك للنظام. تستخدم الدالة Mix.Tasks.Deps.Partition.server/4 في lib/mix/lib/mix/tasks/deps.partition.ex الدالة File.mkdir p/1 لإنشاء هذا الدليل، والتي لا تتحقق من مالك الدليل إذا كان موجودًا بالفعل. يمكن للمهاجم المحلي إنشاء الدليل مسبقًا واستبدال ملف التكوين قبل أن تقوم الدالة client/0 بقراءته. يقوم العميل بعد ذلك بفك تشفير الملف الخبيث باستخدام :erlang.binary to term/1 وتنفيذ أوامر shell محقونة عبر خيار compile: الخاص بالتبعيات. بالإضافة إلى ذلك، قد تؤدي طبيعة ملف التقسيم القابل للقراءة من قبل الجميع إلى كشف تكوينات المشروع لمستخدمين محليين آخرين. تتطلب هذه المشكلة تفعيل التجميع المقسم عبر المتغير MIX OS DEPS COMPILE PARTITION COUNT ووجود دليل مؤقت مشترك للنظام.Recommendations
تحديث Elixir إلى الإصدار 1.20.5.
كإجراء مؤقت، قم بتعيين
TMPDIR إلى دليل خاص بالمستخدم بصلاحيات 0700 قبل تشغيل Mix.
بدلاً من ذلك، قم بتعطيل التجميع المقسم عن طريق ترك MIX OS DEPS COMPILE PARTITION COUNT غير محدد أو تعيينه على القيمة 1. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾